Como ler Wiz e Calif
A pesquisa mostra erros que sobrevivem às requisições. CVE-2026-109618 demonstra RCE mod_php; suscetibilidade FPM deriva do código, sem exploit FPM completo para esse CVE. CVE-2026-109619 confirma outro caminho FPM de upload-progress dependente da aplicação. Consulte cada GHSA para distinguir evidências por SAPI.
Wiz ResearchLer o original ↗CalifLer o original ↗Transforme a atualização em checklist
Primeiros patches: 8.2.35, 8.3.36, 8.4.27, 8.5.12. 7.4, 8.0 e 8.1 têm backports fonte mínimos excepcionais, sem suporte regular. Confira AMBOS os CVEs e a revisão do fornecedor. Reconstrua imagens, substitua todas as réplicas e reinicie processos persistentes. Só CLI ou reiniciar a mesma imagem é insuficiente.
| Ramificação PHP | Versões originais inferiores a | Primeira versão corrigida | Fim do suporte de segurança |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 de dez. de 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 de dez. de 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 de dez. de 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 de dez. de 2026 |
Não há lançamento regular do PHP para essas ramificações. Existem backports mínimos de código-fonte para 7.4, 8.0 e 8.1. Verifique o suporte do fornecedor separadamente. Ler guia ↗
Foundation e OpenAI: coordenação e evidência
PHP Foundation explica manutenção e recursos; Patch the Planet descreve validação e divulgação coordenada. Isso não comprova patch na sua hospedagem. Registre responsável, inventário, revisão, reinícios e validação. Em divergências sobre FPM ou versões antigas, prevalecem GHSA PHP e avisos do fornecedor.
PHP FoundationLer o original ↗OpenAI - Patch the PlanetLer o original ↗php -v
php --ini
# Check the executable used by the Web service separately.
php-fpm -v
# On versioned installations, for example:
php-fpm8.3 -vFontes primárias e leitura complementar
PHP security teamLer o original ↗CVE-2026-109618Ler o original ↗CVE-2026-109619Ler o original ↗Pesquisa e guias práticos
Ferramentas PHP2Shell
Verifique sites públicos, revise configurações e logs locais ou encontre ferramentas abertas. Cada resultado explica evidências e limitações.
01PHP2Shell em linguagem simples
PHP é o motor de WordPress, Laravel e plugins. Atualizar um plugin não atualiza PHP. Duas falhas de memória podem transformar a limpeza anormal de uma requisição em vazamento ou execução de código. O teste público dá indícios; a hospedagem deve confirmar o runtime Web e o patch.
02Tentativa ou invasão bem-sucedida?
Multipart estranho ou alerta WAF pode indicar tentativa. OOM, SIGSEGV/SIGABRT e picos HTTP 500 também têm causas comuns. Filhos PHP, conexões, arquivos e contas inesperados exigem investigação. Vazamento de memória pode não deixar webshell ou arquivo; varredura limpa não o descarta.
03Preserve antes de alterar
Registre descoberta, domínio, instância, runtime, sintomas e último estado confiável. Exporte logs originais com fuso, auditoria cloud e snapshots autorizados disponíveis. Restrinja cópias e registre hashes. Não envie cookies, tokens ou dados de clientes a scanners públicos. Não apague logs ou arquivos suspeitos antes de preservá-los.
04Como ler Wiz e Calif
A pesquisa mostra erros que sobrevivem às requisições. CVE-2026-109618 demonstra RCE mod_php; suscetibilidade FPM deriva do código, sem exploit FPM completo para esse CVE. CVE-2026-109619 confirma outro caminho FPM de upload-progress dependente da aplicação. Consulte cada GHSA para distinguir evidências por SAPI.
05Cloudflare: olhe também a resposta
Cloudflare descreve detecção da transação completa com requisição e resposta da origem, bloqueando respostas suspeitas antes de possível vazamento. Útil sem shell. O histórico de implantação não garante sua cobertura: confira regras, rota, exclusões e eventos. Origem direta e hosts fora do proxy também precisam de patch.