Falhas críticas no PHP podem permitir ataques remotos

Duas vulnerabilidades críticas no PHP, identificadas como CVE-2026-109618 e CVE-2026-109619 e conhecidas como PHP2Shell, podem permitir a execução remota de código (RCE) em servidores vulneráveis. Os detalhes sobre as falhas foram divulgados antes da data prevista para a publicação das correções oficiais, aumentando as preocupações sobre possíveis ataques.

A equipa de segurança do PHP anunciou que as atualizações estão previstas para esta quarta-feira, 21 de outubro. Ambas as vulnerabilidades apresentam uma classificação de 9,2 na escala CVSS 4.0, correspondente a um nível de gravidade crítico.

Segundo o comunicado oficial, os utilizadores devem preparar os sistemas para instalar as atualizações assim que estiverem disponíveis. A equipa admite ainda antecipar a disponibilização das correções caso sejam divulgados detalhes técnicos adicionais ou identificadas evidências de exploração ativa.

De acordo com o CERT-EU, as duas vulnerabilidades apresentam características que apontam para a possibilidade de execução remota de código sem necessidade de autenticação. Esta situação poderá permitir que atacantes executem comandos em servidores vulneráveis, comprometendo a segurança dos sistemas e das aplicações alojadas.

Embora ainda não tenham sido divulgados detalhes oficiais sobre a origem das falhas, os componentes afetados ou os métodos de exploração, informações publicadas por investigadores sugerem que a CVE-2026-109618 poderá estar relacionada com uma vulnerabilidade do tipo use-after-free.

Relatos preliminares indicam também que as falhas poderão afetar versões do PHP desde a versão 5. No entanto, esta informação permanece por confirmar, estando prevista a divulgação das versões afetadas com a publicação das atualizações de segurança.

Em causa está a ampla utilização do PHP em aplicações e serviços web, o que poderá expor um número significativo de servidores caso as vulnerabilidades sejam exploradas.

Perante este cenário, o CERT-EU recomenda que as organizações identifiquem as aplicações e os servidores que utilizam PHP e preparem a instalação das correções assim que estas forem disponibilizadas.

Nos casos em que a atualização imediata não seja possível, a entidade europeia aconselha a ponderar o isolamento temporário das aplicações expostas à Internet.