A CISA adicionou em 26 de outubro as falhas CVE-2026-109618 e CVE-2026-109619 ao catálogo de vulnerabilidades exploradas conhecidas, o KEV. O conjunto, tratado como PHP2Shell, permite execução remota de código no PHP sem autenticação, e a entrada no catálogo indica que a agência reuniu evidência de exploração ativa.
A agência fixou 29 de outubro como prazo de correção para os órgãos alcançados pela diretriz BOD 26-04, três dias depois da inclusão. A diretriz organiza a aplicação de atualizações por risco e admite prazo curto quando a falha já aparece em ataque, e manda descontinuar o produto quando não houver mitigação disponível.
As duas entradas foram marcadas como sujeitas aos requisitos de triagem forense da CISA. A marcação muda o trabalho exigido, porque aplicar a correção não encerra a tarefa: o órgão precisa procurar sinal de comprometimento ocorrido antes da atualização, no período em que o servidor esteve exposto.
O alerta da agência sobre o PHP2Shell foi publicado em 21 de outubro, com a orientação de atualizar de imediato. Em 23 de outubro a CISA acrescentou uma regra de detecção em formato SIGMA e incorporou material de parceiros. A revisão de 26 de outubro registrou a entrada das duas falhas no catálogo.
No mesmo alerta a CISA afirma que as falhas alcançam toda instalação de PHP que atenda requisições web, e nomeia o Apache com mod_php, o PHP-FPM, o php-cgi, o FrankenPHP e o LiteSpeed. O recorte é mais amplo que o do aviso inicial, em que a execução de código demonstrada se limitava ao Apache com mod_php.
A CVE-2026-109618 está no tratamento de falta de memória, que pode deixar memória da requisição sem inicializar, e a CVE-2026-109619 em estado global que aponta para memória já liberada. O projeto PHP atribuiu 9,2 na escala CVSS 4.0 às duas, e o NVD classificou a primeira em 9,8 e a segunda em 8,1 na escala 3.1.
As correções foram publicadas nas versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12. A CISA orienta inventariar onde o PHP roda, inclusive embarcado em outro software, priorizar o que está exposto à internet, tirar do ar o que não puder ser atualizado e o que usa PHP 8.1 ou anterior, sem suporte do projeto, e adotar firewall de aplicação como medida interina. Os dois registros marcam como desconhecido o uso em campanha de ransomware.
