O que é PHP2Shell?
PHP2Shell reúne CVE-2026-109618 e CVE-2026-109619, falhas de memória do próprio PHP com CVSS v4.0 9,2. Houve demonstrações de execução de código sem autenticação e vazamento de memória. As correções foram publicadas em 21 de outubro de 2026; não se trata apenas de um CMS.
Quais instalações verificar?
Atualize todas as instalações Web: FPM, mod_php, php-cgi, FrankenPHP e LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel e aplicações próprias herdam o risco. Inclua painéis, equipamentos, homologação e contêineres. Atualizar a aplicação não substitui o PHP.
FPM está isento?
Não. FPM encerra o filho quando a inicialização da requisição falha, bloqueando algumas sequências iniciais. Caminhos de aplicação e entre requisições permanecem. A demonstração mod_php não prova exploração idêntica em todo ambiente; usar FPM também não dispensa o patch.
PHP 8.1 e anteriores
Sem lançamentos regulares do projeto PHP. Backports mínimos de fontes existem excepcionalmente para 7.4, 8.0 e 8.1; compilar e validar cabe ao operador. Fornecedores OS ou LTS podem manter pacotes. A pesquisa alcança 5.4 com condições diferentes. Migre e verifique patches provisórios.
PHP2Shell em linguagem simples
PHP é o motor de WordPress, Laravel e plugins. Atualizar um plugin não atualiza PHP. Duas falhas de memória podem transformar a limpeza anormal de uma requisição em vazamento ou execução de código. O teste público dá indícios; a hospedagem deve confirmar o runtime Web e o patch.
Ferramentas PHP2Shell →Evidências por runtime PHP
| Runtime | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | RCE demonstrada | RCE demonstrada |
| PHP-FPM | Risco dependente da aplicação; sem exploit FPM completo demonstrado para esta CVE | RCE demonstrada por um caminho adequado da aplicação |
Atualize também php-cgi, FrankenPHP e LiteSpeed. PHP recomenda atualizar todas as instalações Web. A tabela distingue caminhos demonstrados de exposição geral.