PHP2Shell: tudo sobre a vulnerabilidade crítica do PHP
Duas vulnerabilidades críticas no próprio PHP, CVSS 9,2, código malicioso sem autenticação. Aqui encontra o que está comprovado, que versões são seguras e o que fazer agora.
O que é o PHP2Shell? A vulnerabilidade explicada de forma simples
O PHP2Shell são duas vulnerabilidades críticas no próprio PHP, através das quais os atacantes podem executar código em servidores web sem autenticação. A situação em palavras claras.
Ler mais →02CVE-2026-109618: RCE através de um estado de falta de memória
A CVE-2026-109618 é uma das duas vulnerabilidades do PHP2Shell: um estado de falta de memória pode interromper o PHP a meio do processamento do pedido. Corrigida a partir do PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Ler mais →03CVE-2026-109619: RCE através de estado global obsoleto
A CVE-2026-109619 é a segunda vulnerabilidade do PHP2Shell: o estado interno de um pedido pode persistir após a libertação da memória e ser usado pelo pedido seguinte no mesmo worker.
Ler mais →04CVE-2026-115560: aviso sobre o session upload progress
A CVE-2026-115560 é um aviso do php.net de 23/10/2026: possível execução de código apenas numa configuração de sessão invulgar. Solução até à próxima versão: session.upload_progress.enabled=0.
Ler mais →05Que versões do PHP estão afetadas?
O PHP2Shell está corrigido no PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Para o PHP 8.1 e anteriores já não existem atualizações oficiais. A tabela mostra o estado por ramo.
Ler mais →06Verificar corretamente a versão do PHP e o nível de patch
A versão do PHP apresentada, por si só, não diz se o PHP2Shell está fechado. O decisivo são o estado do pacote, os backports e se os processos novos estão realmente em execução.
Ler mais →07Porque é que o mod_php tem o risco mais elevado
No Apache com mod_php, a equipa do PHP classifica o risco do PHP2Shell como o mais elevado: aí foi demonstrado um exploit antes de o código da aplicação ser executado. Como verificar e agir.
Ler mais →08Após a atualização: reiniciar o PHP-FPM e todos os workers
Uma atualização do PHP só produz efeito quando todos os processos PHP são reiniciados. Aqui estão os comandos para PHP-FPM, Apache, LiteSpeed e contentores e como verificar o reinício.
Ler mais →09Medidas imediatas quando ainda não pode aplicar o patch
Se a atualização do PHP ainda não é possível, as medidas provisórias do php.net reduzem o risco, mas não protegem por completo. Veja como as aplicar corretamente.
Ler mais →10PHP 8.1 e anteriores: o que se aplica agora
Para o PHP 8.1, 8.0, 7.4 e versões mais antigas não existem atualizações oficiais contra o PHP2Shell. O que os backports do código-fonte fazem e como é o caminho para uma versão suportada.
Ler mais →11Aplicar patches ao PHP em contentores Docker
Os contentores não se corrigem sozinhos. Contra o PHP2Shell, tem de reconstruir ou voltar a obter a imagem PHP e recriar cada contentor a partir da imagem nova.
Ler mais →12Já estou comprometido? Sinais após o PHP2Shell
Para o PHP2Shell não existem indicadores de compromisso confirmados. Como reconhecer, ainda assim, se o seu servidor foi comprometido e como verificar sem destruir vestígios.
Ler mais →Cada hora conta. Escreva-nos agora.
Descreva brevemente o sistema, a versão do PHP e o que observou. Entramos em contacto consigo, esclarecemos a situação e trabalhamos remotamente até o incidente estar concluído e documentado.