0 
0 
Falhas de segurança no ambiente de execução do PHP acendem um alerta para organizações que mantêm aplicações web e serviços expostos à internet. Identificadas como PHP2Shell, duas vulnerabilidades críticas podem permitir a execução remota de código sem autenticação, além de provocar interrupções de serviço e exposição de informações sensíveis.
Divulgadas em outubro de 2026, as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 receberam pontuação CVSS 4.0 de 9,2, classificada como crítica. Segundo a análise da Imperva, os problemas estão relacionados ao gerenciamento de memória durante situações excepcionais no PHP, como esgotamento de memória e erros fatais.
O risco exige atenção porque a falha está no próprio runtime da linguagem, e não necessariamente na lógica desenvolvida pela aplicação. Isso amplia o conjunto de ambientes que precisam ser avaliados pelas equipes de segurança.
Como funcionam as vulnerabilidades PHP2Shell
O PHP utiliza mecanismos internos para interromper o processamento quando encontra condições críticas, como a falta de memória disponível. Durante essas interrupções, determinadas estruturas internas podem permanecer em um estado inconsistente, com referências para regiões de memória já liberadas ou informações que não foram inicializadas corretamente.
Esse comportamento abre espaço para falhas de segurança conhecidas como use-after-free e acesso a ponteiros não inicializados. Sob condições específicas, uma nova requisição pode interagir com esse estado residual e permitir que um invasor explore a memória do processo.
A CVE-2026-109618 está associada a cenários de esgotamento de memória durante o processamento de requisições. Já a CVE-2026-109619 envolve erros fatais e inconsistências no estado interno do PHP. Embora tenham mecanismos distintos, ambas podem levar à execução remota de código.
Os pesquisadores também demonstraram técnicas que exploram recursos de sessões, o OPcache e a geração de rastreamentos de pilha (backtraces) após erros fatais. Em determinados cenários, o atacante pode provocar falhas nos processos, ler arquivos acessíveis à aplicação ou obter conteúdo da memória do servidor.
A exploração não é automática: depende de condições técnicas específicas, da configuração do ambiente e da capacidade de manipular o processamento das requisições. Ainda assim, a possibilidade de execução de código sem autenticação torna essas vulnerabilidades especialmente relevantes para aplicações expostas à internet.
Quais são os riscos para aplicações e ambientes corporativos
A consequência mais grave da PHP2Shell é a possibilidade de executar código no contexto de segurança do processo PHP comprometido. Isso pode permitir alterações em arquivos acessíveis à aplicação, acesso a dados internos e tentativas de movimentação para outros recursos do ambiente.
Outro risco envolve a exposição de informações armazenadas em memória ou em arquivos que o processo consegue acessar. Dependendo das permissões concedidas, esses dados podem incluir credenciais de banco de dados, chaves de API, configurações da aplicação e outros segredos operacionais.
As falhas também podem causar indisponibilidade. A corrupção de memória pode provocar o encerramento inesperado de processos que atendem às requisições, afetando a estabilidade dos serviços e aumentando a demanda sobre as equipes de infraestrutura.
Um aspecto importante é que uma aplicação aparentemente simples também pode estar exposta. Como parte do processamento vulnerável acontece antes da execução do código da aplicação, revisar apenas as rotinas desenvolvidas internamente não é suficiente para descartar o risco.
A exposição efetiva depende da versão do PHP, dos recursos habilitados, da arquitetura de execução e das configurações utilizadas. Por isso, o diagnóstico precisa considerar o ambiente completo, incluindo servidores web, processos PHP e dependências relacionadas.
Como reduzir a exposição à PHP2Shell
A principal medida é identificar as instalações potencialmente vulneráveis e aplicar as correções oficiais disponibilizadas para as versões afetadas. As equipes devem consultar os avisos de segurança do PHP e dos fornecedores responsáveis pela distribuição utilizada, verificando as versões corrigidas para cada CVE.
Enquanto a atualização não puder ser concluída, algumas medidas temporárias podem reduzir a exposição. A Imperva recomenda avaliar, após testes de compatibilidade, a desativação dos recursos opcache.enable e session.upload_progress.enabled no arquivo de configuração ativo php.ini, quando aplicável.
Essas alterações não constituem uma correção completa e podem afetar o desempenho ou o funcionamento da aplicação. Portanto, devem fazer parte de uma estratégia temporária, com avaliação de impacto e prioridade para a aplicação dos patches oficiais.
Também é importante restringir o acesso aos serviços vulneráveis sempre que possível e aplicar o princípio do menor privilégio aos processos PHP. Limitar o acesso a arquivos, credenciais e serviços conectados reduz o impacto potencial caso ocorra uma exploração.
Na detecção, as equipes devem monitorar erros de esgotamento de memória, encerramentos inesperados de processos, requisições multipart incomuns, parâmetros de sessão anômalos e respostas HTTP com cabeçalhos ou valores de cookies fora do padrão. Esses sinais precisam ser correlacionados com outros eventos, pois, isoladamente, não confirmam uma tentativa de ataque.
Se houver suspeita de exploração, a investigação deve procurar processos filhos inesperados, modificações não autorizadas em arquivos, conexões de saída incomuns, mecanismos de persistência e possível exposição de credenciais.
A PHP2Shell reforça a importância de tratar a segurança do runtime como parte da superfície de ataque das aplicações web. Inventário atualizado, correção de vulnerabilidades, monitoramento contínuo e privilégios mínimos são medidas essenciais para reduzir a probabilidade de comprometimento e limitar seus efeitos.