Nesta página
Em 21 de outubro de 2026, o projeto PHP lançou o PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. As versões corrigem duas vulnerabilidades críticas, CVE-2026-109618 e CVE-2026-109619, a dupla conhecida como php2shell. Nas condições certas, elas permitem que um atacante não autenticado execute código em um servidor que roda PHP. A PHP Foundation é direta: se você usa PHP, atualize agora.
A Vodlix corrigiu seus sistemas antes de as falhas se tornarem públicas. Os clientes da Vodlix não precisaram fazer nada.
Um patch não protege ninguém até estar instalado no seu servidor. Para um negócio de vídeo, é a isso que o php2shell se resume.
O que é o php2shell?
php2shell é o nome dado a duas falhas relacionadas de execução remota de código no PHP, CVE-2026-109618 e CVE-2026-109619. Ambas estão no gerenciamento de memória e no tratamento de erros, partes do PHP pelas quais quase toda requisição passa. Os avisos do projeto PHP as classificam como críticas, e as versões corrigidas saíram em 21 de outubro de 2026.
A PHP Foundation e os avisos do projeto PHP se referem às falhas pelos números CVE, então use-os ao pesquisar os avisos dos seus fornecedores e provedores de hospedagem.
CVE-2026-109618: corrupção de memória quando o PHP fica sem memória
Se uma requisição atingisse o memory_limit do PHP exatamente no momento errado, o PHP podia deixar para trás dados internos parcialmente inicializados e, depois, tratá-los como válidos. No Apache com mod_php, uma requisição não autenticada pode disparar isso antes de qualquer código da aplicação rodar, e a PHP Foundation afirma que a execução remota de código completa foi demonstrada com as configurações padrão. A execução remota de código também foi confirmada no PHP-FPM por meio de caminhos de código da aplicação.
CVE-2026-109619: estado obsoleto deixado por uma requisição anterior
Um erro fatal no ponto errado podia deixar um estado interno apontando para a memória que pertencia a uma requisição anterior. Uma requisição posterior no mesmo worker podia então usar essa memória liberada. Segundo a PHP Foundation, quem reportou a falha demonstrou a execução remota de código contra uma aplicação real no Apache com mod_php.
Quais versões do PHP corrigem a vulnerabilidade php2shell?
As versões corrigidas são o PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, todas lançadas em 21 de outubro de 2026. Todas as versões anteriores desses quatro ramos são afetadas, segundo o aviso do projeto PHP para a CVE-2026-109618. Se você usa o PHP 8.1 ou anterior, não há patch para o seu ramo.
Seu ramo do PHP | Afetado | Atualizar para |
|---|---|---|
8.5 | Abaixo de 8.5.12 | 8.5.12 |
8.4 | Abaixo de 8.4.27 | 8.4.27 |
8.3 | Abaixo de 8.3.36 | 8.3.36 |
8.2 | Abaixo de 8.2.35 | 8.2.35 |
8.1 e anteriores | Sem suporte | Um ramo com suporte, como o 8.5.12 |
O TechCrunch relata que as brechas existem em todas as versões do PHP desde o PHP 5, lançado em 2004, e que o PHP 8.1 e anteriores não têm mais suporte. Os sites nessas versões têm mais trabalho pela frente do que uma atualização pequena.
Quem descobriu as falhas, e quando?
O pesquisador Ryan A, da empresa de segurança Calif, reportou ao PHP a primeira execução remota de código em 11 de agosto de 2026, durante uma auditoria iniciada em 30 de julho de 2026. A Wiz e a OpenAI reportaram, em seguida, outros caminhos de ataque. A causa raiz remonta a um problema de memória que a equipe do PHP identificou pela primeira vez em 2024.
O relato da própria PHP Foundation apresenta a ordem dos acontecimentos:
2024: durante a primeira auditoria de segurança externa do PHP em anos, um desenvolvedor principal encontrou os primeiros sinais do problema de falta de memória. Nenhum caminho de ataque concreto foi encontrado na época, e a correção ficou parada.
30 de julho de 2026: a Calif iniciou uma auditoria do PHP dentro do programa Patch the Planet.
11 de agosto de 2026: Ryan A, da Calif, reportou uma execução remota de código incondicional com a mesma causa raiz. A OpenAI reportou, de forma independente, a mesma causa raiz.
24 de agosto de 2026: a Wiz reportou outros vetores de ataque.
18 de setembro de 2026: a OpenAI reportou outros vetores de ataque.
21 de outubro de 2026: o PHP lançou as versões corrigidas.
A Foundation é franca sobre essa lacuna: chama o atraso após 2024 de “uma falha estrutural” do processo de decisão da equipe de segurança e da sua falta de recursos, e afirma que a equipe está mudando a forma como trabalha.
Quão grave é o php2shell, e como a internet reagiu?
É grave porque o PHP está em toda parte e o pior cenário é um atacante executando código no seu servidor. O TechCrunch relata que o PHP sustenta cerca de 70% dos sites e que a Agência de Segurança Nacional dos EUA recomendou tirar um site do ar se ele não puder ser corrigido imediatamente.
O TechCrunch também relata que as brechas podem permitir que atacantes acessem o sistema de arquivos de um servidor ou um banco de dados usado pela aplicação web. No momento da reportagem, em 21 de outubro, a OpenAI disse que as falhas foram encontradas por pesquisadores antes dos atacantes, sem relatos de exploração ativa. A divulgação muda isso, porque os detalhes agora são públicos.
Os provedores de nuvem agiram no mesmo dia. A AWS publicou o boletim de segurança 2026-143-AWS em 21 de outubro de 2026, marcado como “Important (requires attention)”, para os ambientes de execução web PHP afetados por ambas as CVEs.
O que o php2shell significa para uma plataforma de streaming ou site de vídeo?
Significa verificar cada parte do seu negócio de vídeo que roda PHP, não apenas o player. Um site de streaming é uma loja, um login, um fluxo de cobrança e, muitas vezes, um site de marketing ou blog. Se qualquer um deles roda PHP em um servidor que você ou seu provedor de hospedagem gerencia, ele precisa de uma versão corrigida.
Aqui, segurança não é só uma tarefa de TI. É uma questão de negócio. Um site de vídeo que sai do ar para esperar um patch deixa de vender assinaturas e aluguéis por todo o tempo em que ficar fora.
O WordPress é um caso comum. O TechCrunch relata que o WordPress disse que a falha não é específica do WordPress e que os sites que o usam precisam corrigir seus servidores e trabalhar com suas empresas de hospedagem.
Aplicar patches é uma camada de proteção. Nosso guia sobre os fundamentos de segurança OTT para o seu conteúdo e os seus espectadores cobre as demais, e nossa página sobre segurança de login para plataformas de streaming cobre as contas dos espectadores.
Como a Vodlix lidou com o php2shell?
A Vodlix corrigiu seus sistemas contra a CVE-2026-109618 e a CVE-2026-109619 antes de as falhas se tornarem públicas em 21 de outubro de 2026. Na Vodlix, apenas o middleware usa PHP, e foi isso que recebeu o patch. Os clientes da Vodlix não precisaram tomar nenhuma providência.
Em uma plataforma gerenciada como a Vodlix, atualizações de segurança como esta são aplicadas por você. Se quiser reportar uma preocupação de segurança sobre a Vodlix, escreva para [email protected].
O que fazer se você gerencia seus próprios sites PHP?
Atualize todas as instalações de PHP que você gerencia para uma versão corrigida, ou peça ao seu provedor de hospedagem que faça isso, e leia os avisos dos seus fornecedores. Se não puder atualizar de imediato, siga a orientação da NSA relatada pelo TechCrunch e tire o site do ar até conseguir.
Liste o que roda PHP. Inclua seu site principal, qualquer site ou blog WordPress, landing pages e ferramentas de administração.
Verifique cada versão. Compare-a com a tabela acima.
Atualize ou peça ao seu provedor de hospedagem. Migre para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Em uma hospedagem gerenciada, peça que confirmem a data da atualização.
Planeje um upgrade para os ramos antigos. O PHP 8.1 e anteriores não têm mais suporte, então não haverá patch para eles.
Leia os avisos dos seus fornecedores. Comece pelo seu provedor de hospedagem e pelo seu provedor de nuvem. A AWS já publicou um.
Confirme que a nova versão está em execução. Verifique novamente após a atualização, em cada servidor.
Próximos passos
Se você é cliente da Vodlix, não precisa fazer nada em relação ao php2shell. Em caso de dúvidas, acesse a central de ajuda da Vodlix ou fale com a equipe da Vodlix.
Se você está avaliando uma plataforma gerenciada para que atualizações como esta sejam feitas por você, veja os recursos da plataforma Vodlix ou solicite uma demonstração da Vodlix.
Perguntas frequentes
O que é o php2shell?
php2shell é o apelido de duas vulnerabilidades críticas do PHP, CVE-2026-109618 e CVE-2026-109619. Os avisos oficiais, como os da PHP Foundation, usam os números CVE. Ambas são falhas no gerenciamento de memória e no tratamento de erros do PHP que, nas condições certas, permitem que um atacante não autenticado execute código em um servidor. O PHP as corrigiu em 21 de outubro de 2026.
Quais versões do PHP corrigem a CVE-2026-109618 e a CVE-2026-109619?
O PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 corrigem ambas as vulnerabilidades. Eles foram lançados em 21 de outubro de 2026. Qualquer versão anterior dos ramos 8.5, 8.4, 8.3 e 8.2 é afetada. O PHP 8.1 e anteriores não têm mais suporte, então os sites nessas versões precisam migrar para um ramo com suporte.
Os clientes da Vodlix precisam fazer algo em relação ao php2shell?
Não. Na Vodlix, apenas o middleware usa PHP, e a Vodlix o corrigiu antes de as falhas se tornarem públicas em 21 de outubro de 2026. Os clientes não precisaram tomar nenhuma providência. Se quiser reportar uma preocupação de segurança sobre a Vodlix, escreva para [email protected].
O WordPress é afetado pela vulnerabilidade do PHP de outubro de 2026?
O WordPress roda em PHP, então os sites WordPress ficam expostos pela versão do PHP do servidor. O TechCrunch relata que o WordPress disse que a falha não é específica do WordPress e que os sites que o usam precisam corrigir seus servidores e trabalhar com suas empresas de hospedagem. Atualizar o WordPress em si não substitui a atualização do PHP.
O php2shell foi explorado antes de a correção sair?
O TechCrunch relatou em 21 de outubro de 2026 que, segundo a OpenAI, as falhas foram encontradas por pesquisadores antes dos atacantes e que não havia relatos de exploração ativa naquele momento. Agora que os detalhes são públicos, os servidores sem patch correm mais risco, e é por isso que a NSA recomendou tirar do ar os sites que não podem ser corrigidos.
O que fazer se eu não puder atualizar o PHP imediatamente?
O TechCrunch relata que a Agência de Segurança Nacional dos EUA recomendou que, se um site não puder ser corrigido imediatamente, ele seja tirado do ar até que isso seja possível. Pergunte ao seu provedor de hospedagem quando ele vai aplicar o PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, e leia o aviso dele e o do seu provedor de nuvem, como o boletim 2026-143-AWS da AWS.
Gostou do que você acabou de ler?
Inscreva-se para receber as últimas notícias, estratégias e insights sobre negócios de assinatura diretamente na sua caixa de entrada.
