Exibir código-fonte para PHP2Shell

<div class="td-sourcebox noprint">
'''Página importada automaticamente da Wikipédia em português.'''<br>
Título original: '''PHP2Shell'''.<br>
URL original: https://pt.wikipedia.org/wiki/PHP2Shell<br>
Revisão usada: https://pt.wikipedia.org/w/index.php?oldid=73306995<br>
Importado em: 2026-11-01 08:09 UTC.<br>
Licença: Creative Commons Atribuição-CompartilhaIgual. Esta página deve ser revisada e adaptada para o padrão da Wiki TokuDrive.
</div>

{{evento recente}}
{{Infobox bug
 | name = PHP2Shell
 | image = PHP2Shell logo.png
 | image_size = 180px
 | screenshot = Wikimedia Phabricator PHP2Shell.png
 | screenshot_size = 180px
 | CVE = * {{CVE|2026-109618}}
* {{CVE|2026-109619}}
 | discovered = {{Start date and age|df=yes|2026|8|1}}
 | patched = {{Start date and age|df=yes|2026|10|21}}
 | discoverer = {{Lista horizontal|* [[OpenAI]]
* Wiz
* Calif
}}
 | affected software = [[PHP]] (versões 5.4 a 8)
}}
'''PHP2Shell''' é o nome dado a duas vulnerabilidades de segurança da linguagem de programação [[PHP]], identificadas pelos códigos '''CVE-2026-109618''' e '''CVE-2026-109619'''. As falhas permitem a [[código arbitrário|execução arbitrária de código]] remotamente. Sua existência foi anunciada publicamente em 20 de outubro de 2026.<ref name="oct20">{{Citar web |url=https://www.php.net/archive/2026.php#2026-10-20-1 |título=PHP: News Archive - 20 Oct 2026 |acessodata=21 de outubro de 2026 |data=20 de outubro de 2026 |website=PHP.net |língua=en|wayb=20261022125947 }}</ref> No dia seguinte, foram disponibilizadas correções emergenciais e informações técnicas sobre as vulnerabilidades.<ref name="oct21">{{Citar web |url=https://www.php.net/archive/2026.php#2026-10-21-1 |título=PHP: News Archive - 21 Oct 2026 |acessodata=21 de outubro de 2026 |data=21 de outubro de 2026 |website=PHP.net |língua=en|wayb=20261022125947 }}</ref>

== Descoberta ==
As vulnerabilidades foram descobertas de forma independente pela empresa de segurança californiana Calif, no âmbito do projeto «Patch the Planet», da [[OpenAI]], e pela empresa de segurança em nuvem [[Wiz (empresa)|Wiz]].<ref name="openai">{{Citar web |url=https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/ |título=Patch the Planet: global response coordination as agents uncover critical vulnerabilities |website=OpenAI |acessodata=21 de outubro de 2026 |data=21 de outubro de 2026 |língua=en}}</ref> Segundo a Wiz, as falhas afetam versões do PHP desde a 5.4 até a série 8.<ref name="wiz">{{Citar web |url=https://www.wiz.io/blog/php2shell-php-rce |título=PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet |website=Wiz |acessodata=21 de outubro de 2026 |língua=en|wayb=20261022103821 }}</ref>

Os desenvolvedores do PHP atribuíram às vulnerabilidades uma pontuação de 9,2 em 10, classificada como crítica, segundo a versão 4.0 do [[Common Vulnerability Scoring System]] (CVSS).<ref>{{Citar web |url=https://news-web.php.net/php.announce/509 |título=php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release |website=PHP.net |acessodata=21 de outubro de 2026 |língua=en|wayb=20261021075245 }}</ref> A empresa de segurança watchTowr atribuiu-lhes a pontuação máxima de 10,0.<ref name="bleepingcomputer">{{Citar web |url=https://www.bleepingcomputer.com/news/security/php-warns-admins-of-two-critical-flaws-emergency-patches-coming-tomorrow/ |título=PHP warns admins of two critical flaws, emergency patches coming tomorrow |website=BleepingComputer |acessodata=21 de outubro de 2026 |língua=en|wayb=20261022181211 }}</ref>

== Correções ==
Os mantenedores do PHP disponibilizaram versões corrigidas das séries 8.2, 8.3, 8.4 e 8.5.<ref name="oct21" /> Também foram publicadas correções no código-fonte para as versões 7.4, 8.0 e 8.1, mas não foram disponibilizados binários oficiais atualizados para essas séries, que já haviam chegado ao fim de seu ciclo de vida de suporte.<ref name="oct21" />

As duas vulnerabilidades foram documentadas em avisos de segurança no GitHub em 21 de outubro de 2026, às 13h34 UTC, 26 minutos antes do horário anunciado para a publicação das correções.<ref>{{Citar web |url=https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w |título=RCE via OOM corruption |acessodata=21 de outubro de 2026 |data=21 de outubro de 2026 |website=GitHub |língua=en|wayb=20261022230745 }}</ref><ref>{{Citar web |url=https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp |título=RCE via stale global state |acessodata=21 de outubro de 2026 |data=21 de outubro de 2026 |website=GitHub |língua=en|wayb=20261022230747 }}</ref>

Os mantenedores anteciparam o anúncio após informações sobre as falhas circularem no fórum Hacker News e serem confirmadas pela conta da empresa watchTowr no [[X (rede social)|X]].<ref name="hackernews">{{Citar web |url=https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html |título=PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert |website=The Hacker News |autor=Swati Khandelwal |data=21 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=en|wayb=20261021224914 }}</ref> O aviso antecipado publicado no PHP.net permitiu que administradores preparassem a atualização dos sistemas antes da disponibilização das correções.<ref name="hackernews" /><ref name="oct20" /> A empresa de segurança Sansec estimou que ataques em larga escala poderiam começar nos primeiros 15 minutos após a publicação das correções.<ref>{{Citar web |url=https://arstechnica.com/security/2026/10/php-maintainers-tell-web-devs-to-prepare-themselves-for-critical-security-patches/ |título=PHP warns it plans to release 2 emergency patches imminently |website=Ars Technica |autor=Dan Goodin |data=21 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=en}}</ref>

Provas de conceito, análises técnicas e medidas parciais de mitigação começaram a circular na internet antes do fim do período de embargo.<ref name="bleepingcomputer" /><ref>{{Citar web |url=https://jackalsyn.com/posts/php-up-2026.html |título=Only for the curious... |website=jackalsyn.com |acessodata=21 de outubro de 2026 |língua=en|wayb=20261022210719 }}</ref>

A [[Cloudflare]] relatou indícios de exploração das falhas antes da publicação das correções e implementou regras temporárias de [[firewall de aplicação web]] (WAF) para tentar reduzir o risco de ataques.<ref>{{Citar web |url=https://x.com/dok2001/status/2112811965735202970 |título=Publicação de Dane Knecht no X |website=X |data=21 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=en}}</ref><ref>{{Citar web |url=https://www.pcgamer.com/software/security/we-expect-mass-attacks-to-start-within-15-minutes-of-the-release-web-admins-braced-for-emergency-php-updates-to-plug-leaked-high-severity-holes/ |título=Hold on to your butts: Web admins braced for emergency PHP updates to plug leaked exploits |website=PC Gamer |data=21 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=en}}</ref>

== Impacto ==
[[Imagem:Php2shell wiki.png|miniaturadaimagem|Aviso publicado na [[Wikipédia em inglês]] sobre a indisponibilidade de ferramentas mantidas pela comunidade em decorrência do PHP2Shell]]
Cerca de 69% dos sites usam PHP, incluindo os construídos sobre [[Sistema de gerenciamento de conteúdo|sistemas de gerenciamento de conteúdo]] como [[Drupal]], [[Joomla]] e [[WordPress]], o que tornava o impacto potencial das falhas muito amplo.<ref name="nbc">{{Citar web |url=https://www.nbcnews.com/tech/security/critical-vulnerabilities-php-update-systems-rcna604751 |título=Critical vulnerabilities in commonly used web code spark rush to update systems |website=NBC News |autor=Kevin Collier |data=21 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=en|wayb=20261021133526 }}</ref><ref name="bbc">{{Citar web |url=https://www.bbc.com/news/articles/cmly0lg3w5x2o |título=Websites taken down as critical PHP cyber-security update issued |website=BBC News |autor=Tom Gerkin |data=21 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=en|wayb=20261022202741 }}</ref> O PHP também vem embutido em equipamentos de fornecedores, em painéis de controle de [[hospedagem de sites]] como o [[cPanel]] e o Plesk e em alguns aplicativos para [[Microsoft Windows|Windows]].<ref>{{Citar web |url=https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities |título=Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619) |website=Huntress |autor=John Hammond |data=21 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=en|wayb=20261022172042 }}</ref>

Seguindo recomendações da equipe de resposta a emergências informáticas da União Europeia (CERT-EU) e do Centro Nacional de Segurança Cibernética do Reino Unido (NCSC), organizações europeias retiraram temporariamente seus sites do ar enquanto aguardavam as correções. Entre elas estavam o portal do governo dos [[Países Baixos]] Overheid.nl, a plataforma nacional de comunicação escolar da [[Dinamarca]], todos os serviços web do governo da [[Finlândia]] voltados ao público e todos os sites do [[Ministério do Interior (França)|Ministério do Interior da França]].<ref name="reuters">{{Citar notícia |url=https://www.reuters.com/world/asia-pacific/eu-agency-warns-websites-may-need-be-taken-offline-php-prepares-patches-2026-10-21/ |título=Government websites go dark as software flaw sparks security scramble |jornal=Reuters |autor=Raphael Satter|data=21 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=en|autor2=Leo Marchandon|autor3=Kanjyik Ghosh|autor4=Rajveer Pardesi}}</ref><ref name="bbc" /><ref>{{Citar web |url=https://www.brusselstimes.com/belgium/2371464/major-websites-go-offline-as-critical-php-vulnerability-triggers-security-fears |título=Major websites go offline as critical PHP vulnerability triggers security fears |website=The Brussels Times |autor=Josse Van Dessel |data=21 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=en}}</ref><ref name="nbc" /><ref>{{Citar web |url=https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php |título=Critical security issue affecting PHP |website=National Cyber Security Centre |data=20 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=en|wayb=20261022095009 }}</ref> Nos Estados Unidos, a [[Agência de Segurança Nacional]] (NSA) recomendou que os sites fossem retirados do ar caso não pudessem ser atualizados imediatamente.<ref name="pcmag">{{Citar notícia |url=https://www.pcmag.com/news/php-flaw-is-so-serious-websites-should-consider-going-offline-nsa-says |título=This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says |jornal=PCMag |autor=Michael Kan |data=21 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=en|wayb=20261021170637 }}</ref><ref>{{Citar web |url=https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-php-updates/ |título=NSA Advisory: PHP Updates |website=NSA |data=21 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=en|wayb=20261021223009 }}</ref> O NCSC britânico divulgou um alerta semelhante, no qual pedia às organizações atenção à possível instalação de [[backdoor]]s.<ref>{{Citar notícia |url=https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world |título=Flaw in PHP computer language leads to shutdown of websites around world |jornal=The Guardian |autor=Robert Booth|data=21 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=en|autor2=Aisha Down}}</ref> No Japão, o Escritório Nacional de Cibersegurança orientou os usuários de PHP a atualizar seus sistemas sem demora.<ref name="itmedia">{{Citar web |url=https://www.itmedia.co.jp/news/article/2610/21/2000002472/ |título=著名ITサービス相次いで緊急メンテへ　コドモン、シャドバ、BASE、さくらのレンタルサーバなど　「PHP」脆弱性に起因か |títulotrad=Serviços de TI conhecidos, como Codmon, Shadowverse, BASE e Sakura Rental Server, entram em manutenção de emergência, possivelmente por vulnerabilidade no PHP |website=ITmedia |data=21 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=ja|wayb=20261022150707 }}</ref>

A [[Fundação Wikimedia]] desativou vários de seus serviços de apoio, e os [[Fórum de discussão|fóruns]] [[4chan]] e [[Something Awful]] saíram do ar.<ref name="nbc" /><ref name="mashable">{{Citar web |url=https://mashable.com/tech/php-vulnerability-websites-offline-affected-services |título=PHP vulnerability: Which websites and services are affected? |website=Mashable |autor=Olivia Tauber |data=21 de outubro de 2026 |acessodata=21 de outubro de 2026 |língua=en|wayb=20261022012945 }}</ref><ref name="pcmag" /> Parte da internet japonesa também ficou indisponível, incluindo jogos como ''[[Umamusume: Pretty Derby]]'', ''[[Granblue Fantasy]]'' e ''Princess Connect! Re:Dive'', além de diversos sites de [[comércio eletrônico]].<ref name="itmedia" /><ref name="mashable" /> O [[Internet Archive]] saiu do ar por um breve período para corrigir o problema.<ref>{{Citar web |url=https://www.afr.com/world/north-america/websites-go-dark-as-ai-discovered-bug-sparks-global-security-scramble-20261022-p617nf |título=AI just discovered a bug putting 70pc of world's websites at risk |website=Australian Financial Review |autor=Paul Smith|data=21 de outubro de 2026 |acessodata=22 de outubro de 2026 |língua=en|autor2=Ronald Mizen}}</ref>

=== No Brasil ===
No dia 21 de outubro, através do Centro Integrado de Segurança Cibernética do Governo Digital (CISC), o governo brasileiro emitiu alerta para os órgãos públicos atualizarem imediatamente o software<ref name="G1">{{Citar web |url=https://g1.globo.com/tecnologia/noticia/2026/10/22/falhas-no-php-levam-tribunais-no-brasil-e-anatel-a-suspender-sistemas-governo-emite-alerta.ghtml|titulo=Falhas no PHP levam tribunais no Brasil e Anatel a suspender sistemas; governo emite alerta|secao=Tecnologia|data=22/10/2026|acessodata=23/10/2026|publicado=[[G1]]|nome1=Darlan|sobrenome1=Helder|nome2=Mariana|sobrenome2=Assis}}</ref> e por medida preventiva, a [[Agência Nacional de Telecomunicações]] (Anatel) e os tribunais suspenderam o uso do Sistema Eletrônico de Informações (SEI), plataforma de processos administrativos, após a identificação de duas falhas graves de segurança no PHP.<ref name="G1" />

== Análise ==
Pesquisadores da Wiz compararam a gravidade do problema à do [[Heartbleed]], vulnerabilidade revelada em 2014 numa biblioteca de criptografia usada à época por cerca de dois terços da web.<ref>{{Citar notícia |url=https://edition.cnn.com/2026/10/21/tech/php2shell-vulnerability-ai |título=Global websites shut down after AI found a critical flaw affecting 70% of the internet |jornal=CNN |autor=Lisa Eadicicco |data=21 de outubro de 2026 |acessodata=22 de outubro de 2026 |língua=en}}</ref> Um texto explicativo publicado pelo ''[[The Guardian]]'' observou que a PHP Foundation, entidade que mantém a linguagem, contava com apenas treze funcionários em tempo integral e parcial e dependia de doações, enquanto a pesquisa em [[inteligência artificial]], creditada por ajudar a encontrar as falhas, recebia investimentos da ordem de bilhões.<ref>{{Citar notícia |url=https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns |título=What is PHP, and how bad is the computer language flaw causing website shutdowns globally? |jornal=The Guardian |autor=Josh Taylor |data=22 de outubro de 2026 |acessodata=22 de outubro de 2026 |língua=en}}</ref> Em reportagem do ''[[The New York Times]]'', o PHP foi descrito como onipresente na web, e o jornal considerou possível que usuários comuns tivessem seus dados pessoais expostos.<ref>{{Citar notícia |url=https://www.nytimes.com/2026/10/22/technology/what-is-php-vulnerability-risks.html |título=What Is PHP? Why Are Government and Business Websites Going Offline? |jornal=The New York Times |autor=Karla Adam|data=22 de outubro de 2026 |acessodata=22 de outubro de 2026 |língua=en|autor2=Dustin Volz}}</ref>

== Ver também ==
* [[Log4Shell]]
* [[Vulnerabilidade (computação)]]

{{Referências}}

== Ligações externas ==
* [https://www.php.net/archive/2026.php#2026-10-20-1 Anúncio do projeto PHP]

{{Portal3|Tecnologias de informação}}

{{DEFAULTSORT:PHP2Shell}}
[[Categoria:2026 na informática]]
[[Categoria:Segurança computacional]]
[[Categoria:PHP]]

[[Categoria:Importado da Wikipédia]]
[[Categoria:A revisar]]