Para ativar as proteções disponíveis contra PHP2Shell, a designação associada a duas vulnerabilidades críticas que podem permitir a execução remota de código sem autenticação, a empresa de soluções de cibersegurança, Check Point, recomenda às organizações que atualizem os sistemas PHP.
A empresa disponibilizou proteção específica através do seu sistema de prevenção de intrusões, IPS, e confirmou que o seu Web Application Firewall bloqueou uma tentativa de execução remota de comandos nos primeiros testes com uma prova de conceito.
As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, receberam uma classificação de gravidade de 9,2 em 10, segundo o sistema CVSS 4.0. A equipa responsável pelo PHP publicou, a 21 de outubro, as versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12 para corrigir as falhas e recomendou a atualização imediata. O aviso abrange instalações PHP que recebem pedidos web, com diferentes condições de exploração consoante a configuração utilizada.
O problema está no PHP e pode ultrapassar a segurança da aplicação
A Check Point esclareceu que o PHP2Shell afeta o próprio motor PHP, uma tecnologia que, segundo os investigadores envolvidos na divulgação, suporta aproximadamente 70% dos websites. Este valor traduz a presença da tecnologia na web, não uma contagem de websites comprovadamente vulneráveis ou comprometidos.
O risco pode existir mesmo quando o código da aplicação não apresenta uma falha própria. WordPress, Drupal e Joomla foram utilizados em demonstrações de execução remota de código sem autenticação, mas os problemas não estão limitados a estas plataformas. Outras aplicações assentes numa versão vulnerável do PHP também podem estar expostas.
A investigação demonstrou ainda a possibilidade de consultar informação sensível presente na memória dos processos PHP, incluindo palavras-passe, tokens de autenticação, chaves de API e certificados. Esta exposição pode ocorrer sem que o atacante tenha de conseguir executar código no servidor, o que alarga o impacto para além das tentativas de tomada de controlo.
Duas falhas na forma como o PHP gere a memória
De acordo com o aviso oficial do PHP, a CVE-2026-109618 está relacionada com o tratamento de situações de esgotamento de memória. Um erro deste tipo pode interromper o processamento de um pedido antes de determinadas estruturas internas estarem completamente inicializadas. Durante a limpeza posterior, o PHP pode tratar informação inválida como se fosse válida.
A CVE-2026-109619 envolve a persistência de estado interno depois de a memória correspondente ter sido libertada. Um pedido posterior, tratado pelo mesmo processo, pode reutilizar esse estado antes de a inicialização normal o repor.
A equipa do PHP considera o risco mais elevado nas instalações Apache com mod php, nas quais foi demonstrado um ataque sem autenticação que ocorre antes da execução do código da aplicação.
As diferentes variantes não apresentam necessariamente os mesmos requisitos de exploração. Os investigadores explicam que um ataque funcional contra uma instalação pode exigir alterações substanciais para funcionar noutra, devido a diferenças de versão, configuração e comportamento da aplicação.
A investigação mostrou também como ferramentas de inteligência artificial podem reduzir o esforço necessário para analisar estas diferenças, testar hipóteses e adaptar ataques a ambientes distintos. Esta capacidade reforça a necessidade de corrigir sistemas expostos com rapidez, mesmo quando a exploração exige conhecimentos técnicos especializados.
Tentativas de exploração anteriores à divulgação pública
A evolução da informação disponível reforça a urgência da resposta. A Amazon Threat Intelligence comunicou que identificou, na sua rede de sistemas de observação MadPot, uma tentativa de exploração de PHP2Shell datada de 17 de outubro, quatro dias antes da divulgação pública das vulnerabilidades.
A empresa registou outras tentativas a 21 de outubro e observou a utilização de novas provas de conceito pouco depois da publicação das correções. A análise assinala, contudo, que não é claro se todas as tentativas anteriores à divulgação teriam sucesso em sistemas reais.
Estes registos justificam que a análise de possíveis incidentes considere atividade anterior à publicação do aviso. A instalação de uma atualização corrige a vulnerabilidade, mas não esclarece, por si só, se um sistema foi alvo de exploração antes dessa intervenção.
Proteção da Check Point durante a resposta à ameaça
A Check Point esclareceu que disponibilizou a proteção IPS identificada como CPAI-2026-15172 para as duas vulnerabilidades. Recomenda a atualização automática das proteções nos gateways e a ativação das assinaturas críticas em modo de prevenção.
Nos testes iniciais com uma prova de conceito, o motor do Check Point WAF bloqueou a tentativa de execução remota de comandos. A empresa recomenda também a manutenção da proteção contra carregamento de web shells, a limitação das comunicações de saída dos servidores web e a monitorização de processos que iniciem interpretadores de comandos, ferramentas de transferência ou criem ficheiros inesperados.
De notar que estes controlos reduzem o risco, mas não substituem a atualização do PHP.
Atualizar a aplicação não chega para corrigir o problema
A correção exige a atualização do ambiente PHP que executa o serviço. Atualizar apenas o WordPress, o Drupal, o Joomla ou outra aplicação não garante que o motor subjacente tenha recebido a correção.
A orientação publicada pelos investigadores recomenda a instalação de uma versão corrigida em todos os ambientes afetados e o reinício dos serviços Apache, PHP-FPM e restantes processos PHP de longa duração. As medidas temporárias podem reduzir determinadas vias de ataque, mas não cobrem todas as variantes e podem afetar o funcionamento ou a disponibilidade das aplicações, php2shell.com
A Check Point referiu ainda que para as organizações com versões antigas, a equipa do PHP disponibilizou também correções mínimas em código-fonte para PHP 7.4, 8.0 e 8.1, apesar de estas versões já não beneficiarem do suporte normal do projeto. Os administradores devem confirmar a disponibilidade de pacotes corrigidos junto da distribuição ou fornecedor, ou migrar para uma versão suportada.
Monitorizar sinais técnicos e confirmar a exposição real
A análise técnica recomenda atenção a pedidos multipart invulgares seguidos de erros de memória ou respostas HTTP 500 repetidas, cookies de sessão inesperadamente grandes ou malformados e reinícios anormais dos processos PHP. Estes sinais podem apoiar uma investigação, mas não constituem, isoladamente, prova de comprometimento.
A Check Point esclareceu ainda que como algumas das operações vulneráveis ocorrem abaixo da camada da aplicação, os registos desta podem conter informação limitada sobre uma tentativa de exploração. A avaliação deve, por isso, cruzar os sinais disponíveis nos servidores, nos processos PHP e nos mecanismos de segurança. A atualização continua a ser a medida necessária para eliminar as falhas corrigidas.
