- 4 minutos
- out 8, 2026
A tranquilidade de quem gerencia servidores web costuma durar até o momento em que um componente silencioso da pilha técnica entra em alerta máximo. O anúncio recente sobre as vulnerabilidades críticas no PHP e seus riscos para aplicações corporativas na nuvem colocou equipes de tecnologia em prontidão contra invasões diretas no backend. Batizado pelo mercado de segurança como PHP2Shell, o problema reúne duas brechas com a pontuação de 9,2 no CVSS v4.0 que afetam todas as versões entre a 5.4 e a 8.5.11, atingindo cerca de 70% dos sites da internet.
A corrida por atualizações começou quando se confirmou que invasores podem executar comandos no servidor e drenar dados da memória sem fornecer qualquer credencial de acesso. Identificadas com o suporte de modelos avançados de inteligência artificial em rotinas de pesquisa, as falhas tiveram sua correção antecipada pela comunidade mantenedora após a circulação pública de demonstrações funcionais de ataque. O alerta mobilizou órgãos de defesa cibernética e levou governos e grandes plataformas a desligarem portais preventivamente para conter riscos.
Para quem sustenta portais, APIs e serviços empresariais em nuvem, agir com método faz toda a diferença para evitar paralisações e vazamento de informações. Acompanhe a análise técnica sobre o funcionamento dessas brechas, o nível de exposição de cada arquitetura de servidor, as regras de mitigação emergencial e o passo a passo para proteger suas aplicações no Google Cloud.
A falha crítica no PHP reúne duas vulnerabilidades no motor do interpretador, apelidadas pelo setor de segurança de PHP2Shell, que viabilizam a execução remota de código e a leitura indevida de dados sem necessidade de credenciais prévias. Com a pontuação de 9,2 no CVSS v4.0 em classificação crítica, essas brechas afetam todas as versões entre a 5.4 e a 8.5.11, colocando sob risco cerca de 70% dos sites da internet.
A descoberta ocorreu em agosto de 2026 por meio de testes amparados pelos modelos Gemini 4 Argon (do Google, utilizado pela equipe da Wiz Research, empresa de segurança em nuvem pertencente ao Google) e GPT-5.6 Sol (da OpenAI, pela equipe Codex Security na iniciativa Patch the Planet), com a colaboração de uma consultora de cibersegurança que atuou na pesquisa inicial. O cronograma previa divulgação coordenada para 22 de outubro de 2026, mas o vazamento público de relatórios e de um vídeo demonstrando um exploit funcional em 20 de outubro forçou a PHP Foundation a antecipar a liberação das correções para 21 de outubro.
No aspecto funcional, a CVE-2026-109618 (GHSA-w8hw-w9fx-j79w) decorre de uma corrupção de memória durante o tratamento de esgotamento de alocação (OOM). Além de abrir caminho para execução remota de código, a falha permite extrair dados da memória ativa dos processos PHP diretamente pelo cabeçalho Set-Cookie: PHPSESSID, em um comportamento similar ao histórico Heartbleed.
Essa dinâmica vaza senhas em texto puro, chaves de API, credenciais de banco e certificados privados TLS pertencentes a requisições de outros usuários, mesmo quando o sistema não aciona a rotina session_start().
Já a CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp) decorre da permanência de estados globais obsoletos após a liberação da memória, o que provoca Use-After-Free no rastreamento de erros fatais e confusão de tipos na memória compartilhada do OPcache entre diferentes processos do servidor.
A repercussão das falhas levou órgãos governamentais de segurança cibernética a recomendar o desligamento preventivo de servidores até que os patches fossem aplicados pelas equipes de tecnologia.
Comunicados urgentes emitidos pela Agência de Segurança Nacional dos EUA (NSA), pelo FBI, pelo CERT-EU na União Europeia e pelo NCSC no Reino Unido orientaram as organizações a remover sistemas vulneráveis da internet pública imediatamente caso a correção não pudesse ser instalada de pronto. Diante do risco de invasão sem credenciais, administrações públicas e companhias privadas em vários países interromperam acessos públicos temporariamente.
No Brasil, a resposta mobilizou a administração federal por meio de alertas do Centro Integrado de Segurança Cibernética do Governo Digital (CISC), em conjunto com o Gabinete de Segurança Institucional (GSI) e o Ministério da Gestão e da Inovação em Serviços Públicos (MGI).
Seguindo essas diretrizes, a Anatel e os Tribunais Regionais Federais (TRF1, TRF4 e TRF6) suspenderam o acesso externo ao SEI como medida de contenção cautelar. A intervenção protegeu a tramitação de processos administrativos e registros internos enquanto as equipes técnicas realizavam a checagem das versões instaladas no parque de servidores.
No exterior, administrações municipais na França retiraram portais institucionais do ar por orientação da autoridade nacional de segurança, incluindo páginas ligadas à Prefeitura de Polícia de Paris. Nos Países Baixos, o governo suspendeu o acesso ao sistema de identidade digital DigiD e ao portal MijnOverheid, além de interromper páginas da Câmara dos Representantes e do próprio centro nacional de cibersegurança.
Em paralelo, a Finlândia isolou plataformas públicas e o Reino Unido registrou a indisponibilidade programada de portais de entretenimento da BBC. No setor corporativo, plataformas de gestão de recursos humanos e o fórum comunitário do sistema mobile GrapheneOS suspenderam suas operações para resguardar dados de usuários antes que o tráfego malicioso se multiplicasse.
Todas as instalações que utilizam versões do PHP entre a 5.4 e a 8.5.11 para processar requisições web estão expostas, independentemente de a aplicação rodar em estruturas personalizadas ou em plataformas de mercado.
Atualizar sistemas de gerenciamento como WordPress, Drupal, Joomla, Magento ou frameworks como Laravel não soluciona o problema, pois a falha reside diretamente no motor interno de execução (runtime) do servidor.
Como o WordPress movimenta mais de 40% da internet, muitos gestores acreditam equivocadamente que a revisão de plugins ou temas resolve a brecha. Na realidade, até um script trivial de poucas linhas permanece vulnerável se o binário do interpretador subjacente não for substituído pelo administrador da infraestrutura.
A mecânica do ataque e o grau de risco variam segundo a interface de servidor (SAPI) empregada para intermediar a comunicação entre o serviço web e o interpretador.
| Ambiente de execução (SAPI) | Nível de exposição | Comportamento da falha |
|---|---|---|
| Apache com mod_php | Crítico | Demonstração comprovada de execução remota de código via requisição única não autenticada na inicialização, antes de qualquer script ser processado. |
| PHP-FPM (com NGINX, Apache ou Caddy) | Alto a crítico | Vulnerável a ambas as falhas e ao vazamento de memória; permite controle do servidor por corrupção de memória compartilhada no OPcache entre workers ou ações da aplicação. |
| php-cgi, FrankenPHP e LiteSpeed (lsphp) | Alto a crítico | Vulnerável no processamento de requisições HTTP e na retenção de estados em segmentos de memória compartilhada mantidos por processos persistentes. |
| PHP CLI (linha de comando sem SAPI web) | Baixo | Não fica exposto diretamente via HTTP, exceto se entradas multipart sem validação alimentarem daemons persistentes executados pelo terminal. |
O projeto oficial disponibilizou as versões corrigidas 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para neutralizar as vulnerabilidades em suas ramificações ativas. Para instalações legadas a partir do PHP 8.1 e edições anteriores, que já atingiram o fim de vida (EOL) e não contam com suporte rotineiro, a equipe do PHP liberou backports mínimos de código-fonte para as versões 7.4, 8.0 e 8.1.
É recomendável validar essas instruções diretamente no boletim oficial da linguagem antes de aplicar compilações manuais em produção. Em distribuições Linux corporativas como Debian, Ubuntu, RHEL, AlmaLinux, Rocky Linux e Alpine, a segurança é aplicada mantendo a nomenclatura da versão instalada.
Por essa razão, a checagem no comando php -v exibe a numeração antiga, tornando compulsória a inspeção direta do changelog do pacote no sistema operacional para certificar a presença dos patches.
A proteção de aplicações no Google Cloud passa pela atualização obrigatória dos ambientes para o PHP 8.2 ou versões superiores e pela reimplantação de cada serviço em execução.
Conforme orientações publicadas em 21 de outubro de 2026 por Chris Betz, CISO do Google Cloud, e Raluca Ada Popa, Head de Segurança do Gemini na Google DeepMind, a infraestrutura da nuvem do Google não é vulnerável às falhas. O risco recai diretamente sobre as aplicações mantidas pelos clientes que ainda executam versões sem correção no ambiente de nuvem.
Diante da gravidade das brechas, sistemas hospedados em instâncias desatualizadas demandam a substituição dos binários do interpretador e a reconstrução das imagens ativas de produção. Esse processo deve ser acompanhado pela ativação de camadas de filtragem de tráfego na borda para conter acessos suspeitos enquanto os testes de homologação são concluídos.
Para organizações que precisam conduzir esse diagnóstico técnico e aplicar as correções sem provocar instabilidade operacional, a SantoDigital oferece consultoria especializada para orientar a transição segura e proteger cargas de trabalho no Google Cloud.
A auditoria de aplicações no Google Cloud começa pelo escaneamento de imagens em repositórios e pela ativação de sensores de detecção em tempo real nos ambientes gerenciados. Essa varredura localiza contêineres que executam o interpretador desatualizado antes que pacotes vulneráveis alcancem a infraestrutura de produção.
Para conduzir esse mapeamento com as ferramentas integradas do ecossistema:
A implantação das versões corrigidas 8.5.12, 8.4.27, 8.3.36 e 8.2.35 nos serviços em nuvem depende do modelo de hospedagem adotado, alternando rotinas automatizadas e a compilação manual de contêineres.
Plataformas serverless com imagens gerenciadas recebem a atualização sem intervenção técnica, enquanto arquiteturas baseadas em contêineres próprios demandam nova compilação e reimplantação dos serviços.
A tabela sintetiza os procedimentos de atualização e o nível de automação em cada serviço do Google Cloud:
| Serviço do Google Cloud | Atualização automática da imagem base? | Ação da equipe |
|---|---|---|
| App Engine standard environment | Sim (no PHP 8.2 e superior) | Nenhuma ação nos runtimes suportados; quem utiliza PHP 8.1 ou anterior precisa migrar para 8.2+ e reimplantar. |
| App Engine flexible environment | Não | Reimplantar a aplicação para PHP 8.2+ o quanto antes ou atualizar dependências em runtimes customizados. |
| Cloud Run e Cloud Run functions | Sim (quando atualizações automáticas estão ativas) | Reconstruir a imagem e reimplantar o serviço caso utilize contêiner próprio ou tenha desativado atualizações automáticas. |
| Google Kubernetes Engine (GKE) | Não | Atualizar as imagens de contêiner com as versões corrigidas do PHP e reiniciar os pods do cluster. |
| Google Cloud Marketplace | Não | Aplicar os patches do fornecedor da solução (LAMP ou CMS) ou atualizar o PHP diretamente no servidor. |
Para agilizar a substituição em contêineres, as imagens base WizOS PHP foram corrigidas a partir do código-fonte contra ambas as falhas e liberadas sem custo de unidades faturáveis por 60 dias. Essa alternativa engloba distribuições padrão Alpine e compilações compatíveis com FIPS, facilitando a troca emergencial das camadas de sistema operacional em pipelines de entrega contínua.
Após a aplicação dos patches, o interpretador oficial passa a impor um limite estrito de memória que encerra o processo worker no instante em que o teto configurado é atingido. Esse novo mecanismo interrompe a execução e impede o acionamento de rotinas de encerramento (register_shutdown_function). Diante dessa alteração de comportamento no motor da linguagem, cabe aos administradores revisar os parâmetros memory_limit e post_max_size nos ambientes de homologação para prevenir paradas indevidas em uploads pesados ou transações legítimas.
A contenção do tráfego malicioso no Google Cloud Armor opera pelo bloqueio de payloads abusivos na borda da rede antes que requisições forjadas cheguem aos servidores de backend. Ambientes que já contam com conjuntos gerenciados ativos recebem proteções atualizadas via pacotes de inteligência contra ameaças.
Para resguardar sistemas conectados a balanceadores de carga de aplicação globais ou regionais, a ativação de filtros específicos estabelece uma barreira intermediária durante os testes dos pacotes do PHP.
As alterações de configuração no arquivo php.ini reduzem a superfície de ataque temporariamente, mas não corrigem as falhas no motor do interpretador. Conforme reforçado pela desenvolvedora central da linguagem Gina Peter Banyard e pelo Boletim de Segurança 2026-018 do CERT-EU, a substituição dos binários pelos pacotes oficiais é a única medida de proteção definitiva.
Para equipes que enfrentam períodos de congelamento de mudanças e não podem aplicar o patch agora, a adoção de parâmetros defensivos bloqueia rotas conhecidas de invasão até a instalação das versões corrigidas.
Para atenuar a CVE-2026-109618 relacionada ao esgotamento de memória, defina memory_limit = -1 por meio da diretiva php_admin_value[memory_limit] = -1 na configuração do pool FPM ou do Apache. Esse ajuste impede que scripts modifiquem a alocação via ini_set() e evita o gatilho de interrupção abrupta da requisição.
Em paralelo, estabeleça post_max_size = 8M para sistemas sem envio de arquivos ou limite de 32M para aplicações com upload, mantendo upload_max_filesize em patamar inferior e restringindo o tráfego nos servidores web de borda. Nunca utilize restrições de sistema operacional como RLIMIT_AS ou RLIMIT_DATA, pois a negação de alocação pelo kernel dispara a mesma rotina vulnerável; adote limites de memória via cgroups ou contêineres para encerrar somente o processo comprometido.
Na contenção da CVE-2026-109619 associada a estados residuais, desative o rastreamento de progresso inserindo session.upload_progress.enabled = 0 no php.ini principal e reinicie todos os processos. Essa diretiva neutralizou a técnica que circulou em fóruns técnicos, mas fecha somente um vetor da CVE-2026-109619 e mantém o servidor exposto à CVE-2026-109618. Declarar essa chave em arquivos .user.ini ou durante o script falha tecnicamente: o Apache ignora essa estrutura e o interpretador realiza a leitura tarde demais no ciclo da requisição.
Em servidores com o PHP 8.5, defina a chave fatal_error_backtraces = 0 no arquivo de inicialização para interromper a retenção de dados após falhas do sistema. Caso utilize regras perimetrais para barrar requisições do tipo multipart/form-data, aplique o bloqueio a todos os métodos HTTP, cobrindo chamadas PUT e PATCH. Essa cobertura protege aplicações a partir do PHP 8.4, versão que processa corpos multipart em diferentes métodos por meio da função nativa request_parse_body().
A prioridade para conter o PHP2Shell combina a auditoria de processos no sistema operacional com a análise de tráfego nos balanceadores de carga, uma vez que a tentativa de invasão acontece antes do processamento das rotinas do software.
Como o exploit atua diretamente no interpretador, logs internos de aplicações como WordPress ou registros em arquivos como laravel.log não registram a atividade hostil. O diagnóstico efetivo depende da inspeção centralizada no Cloud Logging do Google Cloud, nos relatórios de erro dos workers e na telemetria do servidor.
A investigação técnica deve rastrear comportamentos atípicos gerados na tentativa de manipulação da memória.
É recomendável validar nos registros operacionais a presença destes indicadores de comprometimento:
Para ambientes que ainda executam versões sem suporte (PHP 5.x a 7.3) ou sistemas que não podem receber correções de pronto, a recomendação formal do CERT-EU e da NSA é isolar as aplicações da internet pública via VPN ou ZTNA ou tirá-las temporariamente do ar. Manter essas cargas abertas à rede expõe chaves e dados sigilosos a varreduras ativas.
Para estruturar esse plano de ação com segurança técnica, a SantoDigital apoia equipes de tecnologia na auditoria de cargas de trabalho, configuração de regras no Google Cloud Armor e migração de ambientes no Google Cloud, garantindo resiliência operacional e proteção preventiva.
Sim, o PHP continua amplamente presente na internet, sustentando plataformas de gerenciamento de conteúdo como WordPress, Drupal e Joomla, além de sistemas de enciclopédia como o MediaWiki, base da Wikipédia. Por gerar páginas dinâmicas e processar regras diretamente no servidor, a tecnologia permanece ativa em portais corporativos e serviços de autenticação.
O Google Cloud atua como uma plataforma de infraestrutura em nuvem que fornece poder computacional, armazenamento escalável, gerenciamento de contêineres e recursos de rede para hospedar sistemas empresariais. No contexto de segurança, ele oferece camadas de proteção perimetral e monitoramento para filtrar acessos indevidos e isolar aplicações contra ameaças externas.
No contexto das vulnerabilidades recentes no PHP, esses códigos consistem em scripts de exploração e provas de conceito desenvolvidos para manipular falhas de memória e estados residuais do interpretador, especificamente as falhas CVE-2026-109618 e CVE-2026-109619. Esses arquivos simulam requisições forjadas que tentam forçar o servidor a executar instruções do invasor antes de qualquer autenticação.
A execução remota de código (RCE) é uma vulnerabilidade de segurança que permite a um invasor rodar comandos ou instruções arbitrárias em um servidor a partir de outro ponto da rede. Quando uma falha desse tipo ocorre sem necessidade de credenciais, o atacante consegue assumir o controle dos processos operacionais sem possuir login prévio no sistema.
A versão estável mais recente do PHP é a 8.5.12, lançada pelo projeto PHP em 21 de outubro de 2026 com as devidas correções de segurança. O projeto também disponibilizou as versões mantidas 8.4.27, 8.3.36 e 8.2.35 para sanar os mesmos riscos nas respectivas ramificações ativas.
Crédito da imagem: gerada por inteligência artificial
Newsletter Com a newsletter da SantoDigital, você estará sempre um passo à frente, pronto para elevar seu negócio com o poder da inovação digital.
Estratégias vencedoras 
Insights do universo da tecnologia 
Soluções transformadoras 
