FERRAMENTAS INDEPENDENTES DE SEGURANÇA PHP
Uma resposta clara começa pela versão correta. Confira o limite de correção do PHP2Shell e encontre o próximo passo para seu ambiente.
Privacidade: seus dados permanecem neste navegador.
PHP é a melhor linguagem do mundo
01 / VERIFIQUE A VERSÃO
Cole uma versão PHP, a saída de php -v ou uma versão por linha. É uma comparação de versões, sem teste de exploração.
PHP2SHELL / FRAMEWORK / CMS
Corrija o PHP2Shell no seu framework, blog ou loja: identifique o PHP em execução, confira a compatibilidade, remova os bloqueios e valide as correções CVE-2026-109618 e CVE-2026-109619.
PHP2SHELL / Ferramentas PHP2Shell
Verifique sites públicos, revise configurações e logs locais ou encontre ferramentas abertas. Cada resultado explica evidências e limitações.
Verifique sites públicos, revise configurações e logs locais ou encontre ferramentas abertas. Cada resultado explica evidências e limitações.
01PHP é o motor de WordPress, Laravel e plugins. Atualizar um plugin não atualiza PHP. Duas falhas de memória podem transformar a limpeza anormal de uma requisição em vazamento ou execução de código. O teste público dá indícios; a hospedagem deve confirmar o runtime Web e o patch.
02Multipart estranho ou alerta WAF pode indicar tentativa. OOM, SIGSEGV/SIGABRT e picos HTTP 500 também têm causas comuns. Filhos PHP, conexões, arquivos e contas inesperados exigem investigação. Vazamento de memória pode não deixar webshell ou arquivo; varredura limpa não o descarta.
03Registre descoberta, domínio, instância, runtime, sintomas e último estado confiável. Exporte logs originais com fuso, auditoria cloud e snapshots autorizados disponíveis. Restrinja cópias e registre hashes. Não envie cookies, tokens ou dados de clientes a scanners públicos. Não apague logs ou arquivos suspeitos antes de preservá-los.
04A pesquisa mostra erros que sobrevivem às requisições. CVE-2026-109618 demonstra RCE mod_php; suscetibilidade FPM deriva do código, sem exploit FPM completo para esse CVE. CVE-2026-109619 confirma outro caminho FPM de upload-progress dependente da aplicação. Consulte cada GHSA para distinguir evidências por SAPI.
05Cloudflare descreve detecção da transação completa com requisição e resposta da origem, bloqueando respostas suspeitas antes de possível vazamento. Útil sem shell. O histórico de implantação não garante sua cobertura: confira regras, rota, exclusões e eventos. Origem direta e hosts fora do proxy também precisam de patch.
02 / BASE DE CORREÇÃO
Publicado pela equipe de segurança PHP em 21 de outubro de 2026. Compare dentro da sua ramificação.
PHP.net ↗
| Ramificação PHP | Versões originais inferiores a | Primeira versão corrigida | Fim do suporte de segurança |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 de dez. de 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 de dez. de 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 de dez. de 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 de dez. de 2026 |
Não há lançamento regular do PHP para essas ramificações. Existem backports mínimos de código-fonte para 7.4, 8.0 e 8.1. Verifique o suporte do fornecedor separadamente. Ler guia ↗
03 / DA VERIFICAÇÃO À CORREÇÃO
Localize cada interpretador, fonte de pacotes e handler do site.
Instale a compilação corrigida ou um backport documentado.
Substitua os processos ativos e verifique cada instância.
Identifique php*-common e o pacote do handler Web.
Ler guiaDiferencie pacotes do sistema, streams e repositórios terceiros.
Ler guiaReiniciar o mesmo contêiner não instala patches.
Ler guiaO PHP do painel pode ser independente do sistema.
Ler guiaAtualizar WordPress, Drupal ou Joomla não atualiza PHP.
Ler guiaPHP2SHELL / CVE
PHP2Shell reúne falhas de segurança de memória no próprio PHP. Uma aplicação atualizada ainda pode usar um interpretador sem o patch.
CVE-2026-109618 envolve saída antecipada por OOM, deixando memória parcialmente inicializada para a limpeza. O patch introduz tratamento suave e rígido de memória. RCE completa foi confirmada no mod_php. FPM é considerado suscetível a caminhos de aplicação, sem exploração completa demonstrada para esta CVE.
Ler guia ↗CVE-2026-109619 preserva referências a memória já liberada. Outra requisição no mesmo worker pode usá-las antes da inicialização. Caminhos confirmados envolvem backtraces fatais do PHP 8.5 e progresso de upload da sessão. RCE foi validada no mod_php e FPM com um caminho de aplicação adequado.
Ler guia ↗Não. FPM encerra o filho quando a inicialização da requisição falha, bloqueando algumas sequências iniciais. Caminhos de aplicação e entre requisições permanecem. A demonstração mod_php não prova exploração idêntica em todo ambiente; usar FPM também não dispensa o patch.
Ubuntu, Debian e Linux empresarial podem preservar o número original com revisão corrigida. Um banner 8.3.6 não prova vulnerabilidade nem reparo. Verifique sistema, repositório, arquitetura e revisão para AMBAS as CVEs. Não inventamos limites de versões de pacotes.
Sem lançamentos regulares do projeto PHP. Backports mínimos de fontes existem excepcionalmente para 7.4, 8.0 e 8.1; compilar e validar cabe ao operador. Fornecedores OS ou LTS podem manter pacotes. A pesquisa alcança 5.4 com condições diferentes. Migre e verifique patches provisórios.
Só o patch completo cobre todas as variantes. Ajustes podem afetar uploads, desempenho e disponibilidade. Aplique administrativamente antes do processamento e reinicie todos os workers. Leia ambos os avisos. CDN e WAF não provam que PHP foi corrigido.
Comece pela versão. Siga as evidências. Verifique os processos que realmente atendem ao seu site.