Vulnerabilidades críticas PHP2Shell CVE-2026-109618 e CVE-2026-109619 confirmadas com exploração ativa em servidores. Saiba como mitigar os riscos.
Duas vulnerabilidades críticas de execução remota de código (RCE), identificadas coletivamente como PHP2Shell e registadas sob os identificadores CVE-2026-109618 e CVE-2026-109619, estão a ser exploradas com sucesso em ambientes reais. A confirmação foi avançada por investigadores de segurança após a deteção de ataques bem-sucedidos contra instalações de Apache mod_php a correr a versão 8.4.26 do PHP.
O que se sabe sobre a exploração
A atividade maliciosa foi documentada por Adel Karimi, da Perplexity, cujos sistemas de honeypot registaram evidências concretas de execução remota de código. Ao contrário de tentativas anteriores que resultavam apenas em falhas de sistema (crashes), esta exploração permitiu a obtenção de uma resposta funcional, incluindo um dump de cookies e a execução de comandos de shell com sucesso. A exploração foi validada de forma independente pelo investigador Marcus Hutchins, que classificou o caso como uma das confirmações de maior qualidade técnica até à data.
A equipa de segurança do PHP disponibilizou correções para estas falhas na quarta-feira, 21 de outubro, um dia após ter solicitado aos administradores que se preparassem para a atualização. Embora tenham surgido tentativas de exploração antes da divulgação pública, estas limitavam-se a reconhecimento e uso de exploits não funcionais.
Impacto e medidas de mitigação
O PHP é utilizado em cerca de 70% dos websites a nível mundial, o que torna a gestão destas vulnerabilidades uma prioridade. Além das correções para o PHP2Shell, a equipa do PHP alertou para uma nova vulnerabilidade RCE (CVE-2026-115560) que ainda não possui correção. Para este caso específico, a recomendação técnica é desativar a funcionalidade de progresso de carregamento de ficheiros, definindo session.upload_progress.enabled=0 nas configurações do PHP.
A recomendação geral é a atualização das instâncias de PHP para as versões corrigidas e a revisão das configurações de segurança dos servidores expostos à internet, dado que a exploração ativa já não é apenas teórica.
Fontes
Antes de comprares, compara no AHT Scan
Vê preços em várias lojas, promoções e histórico observado num único lugar.
Google Cloud antecipa cibersegurança em 2027 com foco em agentes autónomos e integridade de decisões
Git: 6 vulnerabilidades de segurança corrigidas. Atualize agora
Gemini 4 Carbon: A nova aposta da Google para agentes de desenvolvimento