Saltar para o conteúdoistheinternetok
Todos os incidentes

Falha de segurança·Crítica

PHP2Shell: duas falhas críticas no PHP

Correção disponívelOs atacantes já a usamAfeta quem tem um site
PHP

O que muda para si

Alguns sites governamentais ficaram offline por precaução.

O PHP, a linguagem por trás de grande parte dos sites, corrigiu duas falhas que permitem a um atacante tomar conta de um servidor web com um único pedido. Vários governos retiraram sites do ar por precaução; os visitantes não têm de fazer nada, os donos de sites devem atualizar o PHP já.

Início: 20 de out. de 2026Atualizado: 23 de out. de 2026

Publicar no X

O que devo fazer?

Você
Não é preciso fazer nada. Alguns sites do governo podem estar em baixo durante algum tempo.
Se gere um site ou uma app
Atualize o PHP para a 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (ou para o pacote corrigido da sua distribuição; consulte o registo de alterações para ver os identificadores CVE) e reinicie todos os workers. O PHP 8.1 e anteriores não recebem correção oficial. Medidas como session.upload_progress.enabled=0 apenas reduzem a exposição; atualizar é a única solução completa.

O que é afetado

CVE-2026-109618CVE-2026-109619Pontuação de gravidade 9.2 em 10

Cronologia

  1. Correção disponível · 23 de out. de 2026

    A Cloudflare alarga as suas regras a um problema relacionado com o progresso de carregamento de sessão do PHP, a CVE-2026-115560.

    Cloudflare

  2. Correção disponível · 21 de out. de 2026

    Sites de governos de vários países, incluindo Alemanha, Finlândia, Bélgica, Países Baixos e França, são retirados do ar por precaução.

    Australian Associated Press

  3. Correção disponível · 21 de out. de 2026

    O PHP lança as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, que corrigem a CVE-2026-109618 e a CVE-2026-109619. Todas as instalações de PHP que servem pedidos web estão afetadas; o risco é maior com Apache mod_php.

    php.net

  4. Mitigado · 21 de out. de 2026

    A Cloudflare ativa regras WAF contra as falhas em todos os planos, incluindo o gratuito, a partir das 03:02 UTC, e relata tráfego de ataque dirigido aos seus clientes depois de os detalhes terem sido divulgados.

    Cloudflare

  5. Identificado · 20 de out. de 2026

    O PHP anuncia uma versão de segurança crítica para 21 de outubro, que corrige duas vulnerabilidades com pontuação CVSS v4.0 de 9.2.

    php.net

Fontes

Relacionado