-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 CAIS-Alerta 21/10/2026: Vulnerabilidades críticas PHP2Shell permitem execução remota de código sem autenticação Prezados(as), O CAIS alerta a comunidade de segurança cibernética para duas vulnerabilidades críticas no PHP, conhecidas como PHP2Shell e identificadas como CVE-2026-109618 e CVE-2026-109619. As falhas podem permitir que um atacante remoto não autenticado execute código arbitrário em servidores vulneráveis, comprometendo aplicações web e expondo informações sensíveis. 1. Produtos afetados; 2. Identificadores CVE (http://cve.mitre.org); 3. Descrição das vulnerabilidades; 4. Mitigação e correções disponíveis; e 5. Mais Informações. 1. Produtos afetados: * PHP 8.5, versões anteriores à 8.5.12; * PHP 8.4, versões anteriores à 8.4.27; * PHP 8.3, versões anteriores à 8.3.36; * PHP 8.2, versões anteriores à 8.2.35; * PHP 8.1 e versões anteriores, que não recebem mais atualizações regulares do projeto PHP; * Servidores web que executem versões vulneráveis do PHP, incluindo ambientes PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed; * Aplicações e sistemas baseados em PHP, como WordPress, Joomla, Drupal e outros CMS, podem estar expostos caso utilizem versões vulneráveis do interpretador; * Ambientes de hospedagem compartilhada, servidores de aplicações, containers e serviços expostos à Internet que utilizem versões afetadas do PHP. 2. Identificadores CVE (http://cve.mitre.org): * CVE-2026-109618 * CVE-2026-109619 3. Descrição da(s) vulnerabilidade(s): * As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 são falhas críticas de corrupção e gerenciamento inadequado de memória no núcleo do interpretador PHP; * Ambas possuem pontuação CVSS 4.0 de 9.2, classificadas como críticas pelo PHP Security Team; * A CVE-2026-109618 está relacionada ao tratamento inadequado de condições de esgotamento de memória (Out-of-Memory, OOM); * A falha ocorre quando determinadas operações de alocação de memória são interrompidas prematuramente, deixando estruturas internas em estado inválido ou parcialmente inicializado; * Um atacante remoto não autenticado pode enviar requisições HTTP especialmente manipuladas para provocar condições de esgotamento de memória e explorar o processamento inadequado dessas estruturas; * A exploração bem-sucedida pode resultar em corrupção de memória e execução remota de código com os privilégios do processo PHP; * A CVE-2026-109619 é uma vulnerabilidade de uso de memória após liberação (Use-After-Free), relacionada à manutenção inadequada de estados globais entre requisições; * A falha permite que referências internas permaneçam apontando para regiões de memória já liberadas, podendo ser reutilizadas indevidamente durante o processamento de requisições posteriores; * Um atacante pode explorar essa condição por meio de requisições especialmente manipuladas, provocando acesso a memória inválida e possibilitando execução remota de código; * As vulnerabilidades também podem ocasionar negação de serviço e exposição de informações armazenadas na memória dos processos afetados; * Segundo o PHP Security Team, o risco é especialmente elevado em ambientes Apache com mod_php, nos quais foi demonstrada exploração sem autenticação antes mesmo da execução do código da aplicação; * A exploração não depende necessariamente de vulnerabilidades específicas em plugins, temas ou aplicações web, pois as falhas estão presentes no próprio interpretador PHP; * Foram divulgadas provas de conceito públicas e demonstrações de exploração das vulnerabilidades, aumentando o risco de ataques contra instalações ainda não corrigidas; * As vulnerabilidades foram divulgadas publicamente em 21/10/2026, após um processo coordenado de divulgação e disponibilização de correções de segurança. 4. Mitigação e correções disponíveis: * Recomenda-se atualizar imediatamente o PHP para uma versão corrigida; * Para ambientes PHP 8.5, atualizar para a versão 8.5.12 ou superior; * Para ambientes PHP 8.4, atualizar para a versão 8.4.27 ou superior; * Para ambientes PHP 8.3, atualizar para a versão 8.3.36 ou superior; * Para ambientes PHP 8.2, atualizar para a versão 8.2.35 ou superior; * Ambientes que utilizem PHP 8.1 ou versões anteriores devem migrar para versões suportadas ou aplicar correções disponibilizadas pelo fornecedor da distribuição, quando existentes; * Em distribuições Linux que utilizem backports de segurança, consulte os advisories oficiais para verificar se os pacotes instalados já incorporam as correções, mesmo quando a numeração da versão for diferente da versão upstream; * Priorize a atualização de servidores expostos à Internet, plataformas de hospedagem, aplicações institucionais e ambientes que executem CMS baseados em PHP; * Verifique versões vulneráveis do PHP em servidores físicos, máquinas virtuais, containers, imagens de aplicações e ambientes de hospedagem compartilhada; * Após a atualização, reinicie os serviços e processos PHP afetados, incluindo PHP-FPM, Apache ou outros servidores de aplicações, para garantir que a versão corrigida esteja efetivamente em execução; * Caso a atualização imediata não seja possível, avalie restringir temporariamente a exposição pública das aplicações afetadas até a aplicação das correções; * Revise configurações de processamento de requisições HTTP, limites de upload, tamanho de requisições e utilização de memória, conforme as recomendações do PHP Security Team; * Considere utilizar regras de WAF para reduzir a exposição a requisições maliciosas, observando que essas medidas não substituem a atualização do interpretador; * Monitore logs de servidores web, PHP-FPM, WAF, IDS/IPS, EDR e SIEM em busca de requisições anômalas, esgotamento inesperado de memória, falhas de processos e atividades suspeitas; * Verifique a ocorrência de reinicializações inesperadas de processos PHP, falhas de segmentação e execução de comandos não autorizados; * Caso haja suspeita de exploração, recomenda-se acionar o processo interno de resposta a incidentes, preservar evidências, coletar logs, revisar a integridade dos sistemas e avaliar possível exposição de credenciais e informações sensíveis; * O PHP Security Team informa que não existem mitigações alternativas completas para essas vulnerabilidades, sendo a atualização para versões corrigidas a única solução definitiva. 5. Mais Informações: * PHP Security Advisory - Critical Remote Code Execution Vulnerabilities: https://www.php.net/archive/2026.php * PHP Security Advisory - CVE-2026-109618: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w * PHP Security Advisory - CVE-2026-109619: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp * NVD - CVE-2026-109618: https://nvd.nist.gov/vuln/detail/CVE-2026-109618 * NVD - CVE-2026-109619: https://nvd.nist.gov/vuln/detail/CVE-2026-109619 * Canadian Centre for Cyber Security - PHP2Shell: https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619 * Ubuntu Security - PHP2Shell Vulnerability Fixes: https://ubuntu.com/blog/php2shell-vulnerability-fixes-available * Cloudflare - Protections Against PHP2Shell: https://blog.cloudflare.com/php-vulnerabilities-waf-protection * Wiz Research - PHP2Shell: https://www.wiz.io/blog/php2shell-php-rce * NCSC Netherlands - PHP2Shell Operational Information: https://github.com/NCSC-NL/php2shell O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes. Os alertas do CAIS também podem ser acompanhados pelas redes sociais da RNP. Siga-nos!! Twitter: @caisRNP Facebook: facebook.com/RedeNacionaldeEnsinoePesquisaRNP. #################################################################### # CAIS - Inteligência em Cibersegurança # # Rede Nacional de Ensino e Pesquisa (RNP) # # cais@rnp.br https://www.rnp.br/cais # # Chave PGP disponível https://plataforma.rnp.br/cais/cais-pgp.key # #################################################################### -----BEGIN PGP SIGNATURE----- iQJPBAEBCAA5FiEE6KGwyf4DXAeZsMz64zp1B1sIAwoFAmrZMfUbFIAAAAAABAAO bWFudTIsMi41KzEuMTIsMiwxAAoJEOM6dQdbCAMKmFUP/jiUEEfzmV3rrsSqVQUR kRkm1j7oZk1CmtHEW5/uB7o6psA+7J3sYEz19x9dunZo1LhyhYL5QXo3wl99GADD joRx2vkWipJP/ugxMIeXeNpbDBDWj3WAV+1X/VlCOpHROLp7Plng/NvARRNBmIB2 r+dqLcKfq6SALstKd/cR1PGIndC/Lw+XKEbhfSm3IoKiuaAkvBXOGUE0yMK/yWU3 HAShGUJtVe7cAN067mkyP6OoYINCp7Poy4JxlGSEBkXTt7qQ7A62A2BYpy5YNSAU wGWbAT2fkaezbjDq1ZK489e/BrN/1SNgsssqptZZgU28PWplLDWkHU11X6ZX76p7 MTQDZXdgHXdicINHnZBZyLcDJDwKz30vfTx8aZtozNmh4lLJpcbtgw5sBaVQYGzi TYVJMJulCHR5X75nc9/70VZmXk6+CCxflFDqpsDEqP6/j/INo8pNR0TwTNeSEODa UptCjdXPYhXdJpk5tNmTyVz4Q78/EkxGpvw7X16HcVtLMO6zRoIt9B0pCNuXGd95 d7k6g2I1LEtHuPjzsLc4OYqiC2whO9I9cSGFyzI3FF0U3eB/H3jN8D4Hl04xm3pA r5YMwb8dE/cg5Y2WZCa0Kjgn6O21jEpDlJ46de64BvpU5nQ3nG/ktOMLToK1w8vE 1z6uufcCBml/l6fDTpLJc6FS =urGO -----END PGP SIGNATURE-----