O projeto PHP publicou em 21 de outubro correções de emergência para duas falhas críticas no núcleo da linguagem, CVE-2026-109618 e CVE-2026-109619, tratadas em conjunto como PHP2Shell. As duas receberam nota 9,2 na escala CVSS 4.0 e permitem execução remota de código.
A CVE-2026-109618 está no tratamento de falta de memória. O uso de longjmp pode deixar dados da requisição parcialmente inicializados, e o encerramento posterior age sobre dado inválido. Requisição multipart com muitos cabeçalhos ou campo de arquivo vazio pode disparar a condição.
A CVE-2026-109619 está em estado global obsoleto em worker de vida longa, que mantém referência a memória já liberada. Os caminhos confirmados envolvem erro fatal, dados de relatório de erro e o progresso de upload de sessão.
Pesquisadores validaram execução de código sem autenticação por HTTP na primeira falha, em Apache com mod_php e limites padrão. No PHP-FPM a suscetibilidade saiu de análise de código, sem exploit demonstrado. Na segunda falha a exposição depende de configuração e de extensões carregadas.
O FBI Cyber Division publicou alerta em 21 de outubro orientando atualizar de imediato e tirar o sistema do ar quando a atualização não for viável. O aviso pede inventário de onde o PHP roda, com prioridade para o que está exposto à internet e para produto que embarca a linguagem.
Foram afetadas as versões anteriores à 8.2.35, à 8.3.36, à 8.4.27 e à 8.5.12, corrigidas em cada uma dessas. O PHP 8.1 e anteriores não têm suporte do projeto. A Cloudflare liberou regras de WAF para todos os planos, e o diretor de tecnologia Dane Knecht afirmou que a empresa observava os primeiros ataques.
A mitigação completa é atualizar e reiniciar os workers, conferindo todos os pools e serviços expostos, porque atualizar só o pacote de linha de comando pode não alcançar o PHP-FPM nem o módulo do Apache. Como paliativo o projeto sugere limitar tamanho de requisição e de entrada multipart no frontend, e no PHP 8.5 desativar fatal_error_backtraces e o progresso de upload de sessão.
