# PHP2Shell: tudo sobre a vulnerabilidade crítica do PHP

> PHP2Shell explicado de forma clara: CVE-2026-109618 e CVE-2026-109619, versões afetadas, verificação, reinício e medidas provisórias.

Fonte: https://phpsos.de/pt/php2shell/  
Atualizado em: 25/10/2026  
Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

Duas vulnerabilidades críticas no próprio PHP, CVSS 9,2, código malicioso sem autenticação. Aqui encontra o que está comprovado, que versões são seguras e o que fazer agora.

- [O que é o PHP2Shell? A vulnerabilidade explicada de forma simples](https://phpsos.de/pt/php2shell/was-ist-php2shell/): O PHP2Shell são duas vulnerabilidades críticas no próprio PHP, através das quais os atacantes podem executar código em servidores web sem autenticação. A situação em palavras claras.
- [CVE-2026-109618: RCE através de um estado de falta de memória](https://phpsos.de/pt/php2shell/cve-2026-109618/): A CVE-2026-109618 é uma das duas vulnerabilidades do PHP2Shell: um estado de falta de memória pode interromper o PHP a meio do processamento do pedido. Corrigida a partir do PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
- [CVE-2026-109619: RCE através de estado global obsoleto](https://phpsos.de/pt/php2shell/cve-2026-109619/): A CVE-2026-109619 é a segunda vulnerabilidade do PHP2Shell: o estado interno de um pedido pode persistir após a libertação da memória e ser usado pelo pedido seguinte no mesmo worker.
- [CVE-2026-115560: aviso sobre o session upload progress](https://phpsos.de/pt/php2shell/cve-2026-115560/): A CVE-2026-115560 é um aviso do php.net de 23/10/2026: possível execução de código apenas numa configuração de sessão invulgar. Solução até à próxima versão: session.upload_progress.enabled=0.
- [Que versões do PHP estão afetadas?](https://phpsos.de/pt/php2shell/betroffene-php-versionen/): O PHP2Shell está corrigido no PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Para o PHP 8.1 e anteriores já não existem atualizações oficiais. A tabela mostra o estado por ramo.
- [Verificar corretamente a versão do PHP e o nível de patch](https://phpsos.de/pt/php2shell/php-version-pruefen/): A versão do PHP apresentada, por si só, não diz se o PHP2Shell está fechado. O decisivo são o estado do pacote, os backports e se os processos novos estão realmente em execução.
- [Porque é que o mod_php tem o risco mais elevado](https://phpsos.de/pt/php2shell/mod-php-risiko/): No Apache com mod_php, a equipa do PHP classifica o risco do PHP2Shell como o mais elevado: aí foi demonstrado um exploit antes de o código da aplicação ser executado. Como verificar e agir.
- [Após a atualização: reiniciar o PHP-FPM e todos os workers](https://phpsos.de/pt/php2shell/php-fpm-neustart/): Uma atualização do PHP só produz efeito quando todos os processos PHP são reiniciados. Aqui estão os comandos para PHP-FPM, Apache, LiteSpeed e contentores e como verificar o reinício.
- [Medidas imediatas quando ainda não pode aplicar o patch](https://phpsos.de/pt/php2shell/sofortmassnahmen-ohne-patch/): Se a atualização do PHP ainda não é possível, as medidas provisórias do php.net reduzem o risco, mas não protegem por completo. Veja como as aplicar corretamente.
- [PHP 8.1 e anteriores: o que se aplica agora](https://phpsos.de/pt/php2shell/php-8-1-und-aelter/): Para o PHP 8.1, 8.0, 7.4 e versões mais antigas não existem atualizações oficiais contra o PHP2Shell. O que os backports do código-fonte fazem e como é o caminho para uma versão suportada.
- [Aplicar patches ao PHP em contentores Docker](https://phpsos.de/pt/php2shell/docker-container-patchen/): Os contentores não se corrigem sozinhos. Contra o PHP2Shell, tem de reconstruir ou voltar a obter a imagem PHP e recriar cada contentor a partir da imagem nova.
- [Já estou comprometido? Sinais após o PHP2Shell](https://phpsos.de/pt/php2shell/bin-ich-gehackt-anzeichen/): Para o PHP2Shell não existem indicadores de compromisso confirmados. Como reconhecer, ainda assim, se o seu servidor foi comprometido e como verificar sem destruir vestígios.