PHP2Shell já está a ser explorado em ataques após divulgação antecipada

As vulnerabilidades críticas CVE-2026-109618 e CVE-2026-109619, conhecidas como PHP2Shell, já estão a ser alvo de tentativas de exploração em ambientes reais, segundo várias empresas de cibersegurança. Os primeiros ataques foram identificados antes da disponibilização das atualizações de segurança, publicadas a 21 de outubro, depois de informações técnicas sobre as falhas terem sido divulgadas antecipadamente.

A Hadrian, a WatchTowr, a Patchstack, a Cloudflare e a Vega estão entre as empresas que reportaram atividade relacionada com a exploração das vulnerabilidades. Embora tenham sido observadas tentativas de ataque em larga escala, os dados divulgados não permitem confirmar uma campanha generalizada de comprometimento de servidores.

O Centro Nacional de Cibersegurança (CNCS) publicou também um alerta sobre as duas falhas, classificadas com uma gravidade de 9,2 em 10 na escala CVSS 4.0. A entidade confirma que ambas podem permitir a execução remota de código sem autenticação, colocando em risco servidores e aplicações que utilizem o PHP.

Tentativas de exploração começaram antes da publicação dos patches

A divulgação prematura de informações sobre o PHP2Shell acelerou o desenvolvimento de códigos de exploração de prova de conceito (PoC), permitindo que atacantes começassem a testar as vulnerabilidades antes da disponibilização das correções.

A Hadrian reportou tentativas de exploração em larga escala algumas horas antes do lançamento das atualizações. Segundo a empresa, grande parte da atividade observada procurava explorar o mecanismo de acompanhamento do progresso de carregamento de ficheiros nas sessões PHP, conhecido como session upload-progress.

A Patchstack e a Cloudflare também identificaram tentativas de exploração antes da publicação dos patches, enquanto a Vega detetou ataques que utilizavam um PoC disponibilizado publicamente.

A WatchTowr observou atividade semelhante nos seus sensores aproximadamente na altura em que as atualizações foram lançadas. A empresa não identificou tentativas bem-sucedidas nos ambientes monitorizados, mas alertou para a possibilidade de os atacantes aperfeiçoarem rapidamente os métodos utilizados.

Os relatos demonstram que as vulnerabilidades passaram a ser exploradas em tentativas de ataque, embora não permitam determinar quantos sistemas poderão ter sido efetivamente comprometidos.

CNCS confirma risco de execução remota de código sem autenticação

No alerta publicado, o CNCS explica que as duas vulnerabilidades resultam de problemas de corrupção de memória no núcleo do PHP e podem permitir a execução remota de código sem necessidade de autenticação ou interação do utilizador.

A CVE-2026-109618 está relacionada com o tratamento de situações de falta de memória. Segundo o CNCS, estas condições podem interromper o PHP quando os dados internos de um pedido estão apenas parcialmente inicializados, permitindo que sejam posteriormente tratados como válidos durante as operações de limpeza.

A CVE-2026-109619 resulta da persistência de estado interno associado a um pedido depois de a memória correspondente ter sido libertada. Esse estado pode voltar a ser utilizado por outro pedido processado pelo mesmo worker, criando condições para a exploração da vulnerabilidade.

As falhas podem comprometer a confidencialidade, a integridade e a disponibilidade dos sistemas afetados. Além da execução remota de código, os atacantes poderão conseguir aceder a informações sensíveis presentes na memória dos processos, incluindo credenciais e chaves de API.

O CNCS esclarece, contudo, que a exploração apresenta complexidade elevada e depende de condições específicas de memória ou de estado que os atacantes têm de provocar. A fiabilidade dos ataques varia consoante a versão e a compilação do PHP, as extensões instaladas e a configuração do servidor.

Apesar destas condicionantes, a ausência de requisitos de autenticação e de interação do utilizador aumenta a gravidade das vulnerabilidades.

Todas as instalações que processam pedidos Web podem estar expostas

As vulnerabilidades afetam o próprio interpretador PHP, pelo que o risco não depende de falhas no código das aplicações desenvolvidas com esta linguagem.

Segundo o CNCS, todas as instalações que processam pedidos Web devem ser consideradas potencialmente afetadas, incluindo ambientes PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.

A equipa de segurança do PHP identificou o Apache com mod_php como o cenário de maior risco, tendo confirmado a execução remota de código nessa configuração com os limites de memória e de entrada de dados predefinidos.

O problema abrange também aplicações e plataformas amplamente utilizadas, como WordPress, Drupal e MediaWiki. Mesmo quando o código destas aplicações não apresenta vulnerabilidades, a presença das falhas no interpretador pode permitir o comprometimento do servidor.

De acordo com a Wiz, o PHP é utilizado em cerca de 70% dos websites a nível mundial, o que demonstra a dimensão potencial da superfície de ataque.

O CNCS alerta ainda para a necessidade de identificar instalações menos evidentes, nomeadamente em equipamentos e aplicações de fornecedores que integrem o interpretador, painéis de controlo como cPanel e Plesk e sistemas de gestão de conteúdos.

Atualizações abrangem quatro versões suportadas do PHP

As correções foram disponibilizadas a 21 de outubro, nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Todas as versões anteriores destas quatro linhas estão afetadas, assim como as instalações que utilizam PHP 8.1 ou versões mais antigas.

Para as versões 7.4, 8.0 e 8.1, foram também disponibilizados backports mínimos de código-fonte, destinados a permitir a aplicação das correções em determinados ambientes. No entanto, estas versões já não recebem atualizações regulares de segurança da equipa responsável pelo PHP.

O CNCS recomenda que as organizações atualizem imediatamente as instalações para a versão corrigida da respetiva linha e, nos casos em que utilizem versões sem suporte, planeiem a migração para uma versão suportada.

A entidade sublinha que a atualização é a única solução considerada segura, uma vez que não existem medidas de mitigação capazes de eliminar completamente o risco de exploração.

Quando a atualização imediata não for possível, o CNCS recomenda retirar os sistemas potencialmente vulneráveis da Internet ou restringir o acesso através de VPN ou de uma Web Application Firewall (WAF). Estas medidas podem reduzir a exposição a determinados métodos de ataque, mas não substituem a instalação das correções.

O alerta recomenda ainda confirmar a versão efetivamente instalada em cada servidor e assegurar o reinício de todos os processos worker do PHP-FPM ou do servidor Web após a atualização.

Investigação com IA permitiu demonstrar falhas antigas

A descoberta das vulnerabilidades resultou de investigações conduzidas pela Calif, OpenAI e Wiz, que comunicaram os problemas à equipa responsável pelo PHP durante o mês de agosto.

Segundo a Calif, um problema relacionado com situações de esgotamento de memória tinha sido identificado inicialmente em 2020 e novamente durante uma auditoria realizada em 2024. Na altura, não tinha sido demonstrada uma forma de exploração com impacto de segurança, pelo que a falha não foi corrigida.

A utilização de modelos avançados de Inteligência Artificial (IA) permitiu aprofundar a investigação e demonstrar que o problema poderia ser explorado para executar código remotamente.

A Calif e a OpenAI comunicaram de forma independente a vulnerabilidade a 11 de agosto, tendo a OpenAI e a Wiz identificado posteriormente outros métodos de exploração.

A Wiz considera que as falhas estão entre as mais graves identificadas no PHP, devido à sua presença em componentes fundamentais da linguagem e à complexidade dos métodos necessários para demonstrar a exploração.

Segundo a empresa, as duas referências CVE agrupam quatro problemas de segurança de memória, mas poderão existir variantes adicionais que ainda não foram totalmente identificadas.

A PHP Foundation refere que a utilização de IA na investigação de segurança tem contribuído para identificar mais vulnerabilidades, tendo sido publicadas 15 novas referências CVE desde 1 de julho.

Divulgação antecipada acelerou desenvolvimento de exploits

A divulgação coordenada do PHP2Shell estava inicialmente prevista para 22 de outubro, mas informações sobre as vulnerabilidades começaram a circular publicamente no dia 20.

A PHP Foundation decidiu antecipar a publicação das atualizações para 21 de outubro e emitiu um aviso de segurança, recomendando aos administradores que preparassem a instalação urgente das correções.

Segundo a entidade, um vídeo que demonstrava o funcionamento de um PoC foi publicado por engano antes da data acordada. A divulgação revelou informações adicionais sobre as vulnerabilidades e contribuiu para acelerar o desenvolvimento de novos métodos de exploração.

A Fundação refere também que informações sobre medidas de mitigação partilhadas antecipadamente com organizações de infraestruturas críticas poderão ter sido divulgadas antes do previsto.

Outro incidente envolveu a Chainguard, que disponibilizou imagens de software com as correções cerca de seis horas antes da divulgação coordenada. Esta publicação antecipada permitiu que potenciais atacantes analisassem as alterações introduzidas no código enquanto a maioria dos utilizadores ainda aguardava pelas atualizações oficiais.

A Cloudflare implementou proteções na sua WAF nove horas antes da divulgação pública, procurando bloquear os métodos de exploração conhecidos.

CNCS recomenda monitorização de sinais de comprometimento

Além da atualização dos sistemas, o CNCS recomenda que as organizações procurem sinais de exploração das vulnerabilidades, tendo em conta que as primeiras tentativas de ataque foram identificadas antes da publicação dos patches.

Entre os indicadores a monitorizar estão processos anómalos iniciados a partir de serviços como php-fpm, php-cgi, httpd ou apache2, incluindo a execução inesperada de shells, interpretadores ou ferramentas de descarregamento de ficheiros.

Nos casos em que existam indícios de comprometimento, o CNCS aconselha o isolamento do servidor e a preservação dos registos de atividade do servidor Web e do PHP, para permitir uma análise posterior.

A investigação deverá incluir a procura de webshells, ficheiros recentemente criados na diretoria Web, tarefas agendadas suspeitas e contas adicionadas sem autorização.

O alerta recomenda igualmente que as organizações verifiquem junto dos fornecedores dos sistemas operativos e dos serviços de alojamento a disponibilidade de pacotes com as correções aplicadas.

Para os ambientes que dependem do repositório rpms.remirepo.net, o CNCS indica que deverá ser considerada a utilização dos pacotes disponibilizados pela distribuição ou a compilação a partir do código-fonte, uma vez que o repositório não disponibilizou a atualização.

Com as correções já publicadas e as tentativas de exploração confirmadas, a prioridade passa pela identificação de todas as instalações vulneráveis, pela aplicação das atualizações e pela verificação de eventuais comprometimentos anteriores à correção.