Seguir Os administradores de PHP estão enfrentando uma atualização de segurança urgente, após os mantenedores anunciarem um lançamento fora de ciclo para tratar duas vulnerabilidades críticas. As falhas, rastreadas por pesquisadores de segurança como CVE-2026-109618 e CVE-2026-109619, receberam cada uma uma pontuação CVSS v4.0 de 9,2 da equipe de segurança do PHP. Pesquisadores da watchTowr descrevem ambos os problemas como vulnerabilidades de execução remota de código.
O lançamento de emergência está agendado para 21 de outubro de 2026, às 14:00 UTC. O PHP adiantou a divulgação após informações sobre as vulnerabilidades supostamente vazarem antes da data de lançamento coordenada. No momento da redação, o PHP não divulgou os componentes vulneráveis, requisitos de exploração, versões afetadas ou causas técnicas profundas e informa que esses detalhes acompanharão as atualizações de segurança.
Pesquisadores apelidaram informalmente o par de vulnerabilidades de “PHP2Shell”, embora esse nome não venha do Projeto PHP. O vazamento inicial alegou que as falhas poderiam afetar versões do PHP desde o PHP 5 e atribuíram a elas pontuações CVSS de 10,0. No entanto, a classificação oficial do PHP é 9,2, e a faixa de versão reivindicada ainda não foi confirmada por um aviso oficial do fornecedor.
O impacto potencial é, no entanto, significativo. O PHP alimenta um grande número de sites, aplicativos web, sistemas de gerenciamento de conteúdo, plataformas de e-commerce, APIs, painéis de hospedagem e serviços empresariais customizados. Se a execução remota de código for confirmada em configurações comumente implantadas, a exploração bem-sucedida poderia dar aos atacantes uma rota direta de um aplicativo web exposto para uma comprometimento ao nível do servidor.
Equipes de segurança que buscam oportunidades de detecção de CVE-2026-109618 devem priorizar o monitoramento baseado em comportamento enquanto assinaturas específicas de exploração permanecem indisponíveis. Atividades suspeitas incluem processos PHP ou de servidores web lançando inesperadamente shells, interpretadores, utilitários de linha de comando ou ferramentas de download.
Clientes da SOC Prime podem utilizar a Plataforma de Inteligência de Detecção Nativa em IA para acessar conteúdo de detecção continuamente atualizado para exploração de vulnerabilidades e comportamento pós-comprometimento associado. Regras de detecção podem ser aplicadas em vários ambientes SIEM, EDR e Data Lake e alinhadas com o framework MITRE ATT&CK®.
Clique Explore Detecções para acessar conteúdo SOC relevante para vulnerabilidades emergentes. Para detectar CVE-2026-109619 e tentativas de exploração associadas, os defensores devem combinar análises comportamentais com telemetria do servidor web, endpoint e rede à medida que a inteligência técnica se torna disponível.
As equipes de segurança também podem usar o Prime Architect para transformar inteligência sobre vulnerabilidades emergentes em regras Sigma e consultas personalizadas de caça, validar a lógica de detecção, visualizar fluxos de ataque potenciais e traduzir rapidamente conteúdo de detecção em plataformas de segurança suportadas.
Análise de CVE-2026-109618 e CVE-2026-109619
Em 20 de outubro de 2026, a equipe de segurança do PHP emitiu um aviso antecipado de que duas vulnerabilidades críticas seriam tratadas por meio de um lançamento de segurança excepcional no dia seguinte. Ambos receberam uma classificação CVSS v4.0 de 9,2, e os administradores foram instados a se preparar para atualizações imediatas. O PHP também reservou a opção de lançar correções mais cedo se informações técnicas se tornassem públicas ou a exploração ativa fosse detectada.
O anúncio seguiu-se a um vazamento de informações referentes a duas vulnerabilidades sob embargo. O material vazado identificava CVE-2026-109618 e CVE-2026-109619 e caracterizava ambos como falhas de execução remota de código. A watchTowr posteriormente confirmou ao BleepingComputer que as vulnerabilidades são reais e disse que seus pesquisadores acreditam ter reproduzido com sucesso uma delas.
No entanto, existem diferenças importantes entre as informações vazadas e o que o PHP confirmou oficialmente.
O PHP atribuiu a ambas as vulnerabilidades uma pontuação CVSS v4.0 de 9,2 em vez da classificação CVSS 10,0 circulada no vazamento. O PHP também não confirmou quais ramificações são vulneráveis, se a exploração requer um modelo específico de implantação ou configuração do PHP, ou se é necessária autenticação.
A alegação de que CVE-2026-109618 afeta as versões 5, 6, 7 e 8 do PHP vem de informações de pesquisadores e materiais vazados, e não do comunicado oficial do PHP. A própria watchTowr observa que esse escopo ainda não foi confirmado pelo fornecedor.
Uma análise cuidadosa de CVE-2026-109618, portanto, precisa separar os fatos confirmados da pesquisa preliminar. O que atualmente está confirmado é que o PHP considera duas vulnerabilidades críticas, classifica ambas em 9,2 e acredita que o risco justifica um lançamento de segurança emergencial fora de ciclo. Os pesquisadores caracterizam as falhas como vulnerabilidades do tipo RCE, mas seus mecanismos subjacentes permanecem sob embargo.
Essa distinção também é importante ao avaliar ambientes legados de PHP. O Projeto PHP atualmente fornece atualizações de segurança apenas para ramificações suportadas 8.2 a 8.5. O PHP 8.2 e 8.3 estão recebendo correções de segurança, enquanto 8.4 e 8.5 permanecem sob suporte ativo. Ramificações mais antigas, incluindo PHP 8.1, 8.0, PHP 7.x, e PHP 5.x, estão no fim de seus ciclos de vida e não receberão patches upstream se provarem ser vulneráveis.
Isso poderia criar um cenário de remediação particularmente desafiador para organizações que operam aplicativos antigos que não podem ser facilmente migrados. Sistemas PHP legados expostos à internet representariam uma preocupação significativa se a exposição ampla de versão relatada for confirmada.
Nenhuma PoC pública para CVE-2026-109618 está disponível no momento da redação. A watchTowr diz acreditar ter reproduzido com sucesso o problema, mas está intencionalmente retendo informações técnicas até que patches de segurança estejam disponíveis. A Huntress também não reproduziu as vulnerabilidades e desconhecia código de exploração disponível publicamente.
Até 21 de outubro, nenhuma exploração ativa havia sido observada pelos pesquisadores citados em qualquer dos relatórios. As vulnerabilidades também não estavam listadas no catálogo de Vulnerabilidades Conhecidas Exploradas da CISA no momento do relatório do The Hacker News.
Consequentemente, os IOCs para CVE-2026-109619 ainda não foram publicados. Atualmente, não há endereços IP maliciosos confirmados, domínios, hashes de payload, padrões de requisição de exploit ou outros indicadores específicos de campanhas diretamente associados à exploração dessa vulnerabilidade.
Até que detalhes da exploração estejam disponíveis, os defensores devem monitorar sinais genéricos de comprometimento do servidor PHP. Comportamentos de alto valor incluem php-fpm, php-cgi, httpd ou apache2 gerando shells, mecanismos de scripting, utilitários de download ou outros executáveis inesperados. Novos web shells, modificações inexplicáveis no diretório raiz, tarefas cron, tarefas agendadas, contas recém-criadas e conexões de saída anômalas também devem desencadear investigações.
Os detalhes precisos para CVE-2026-109619 são esperados para esclarecer o componente PHP vulnerável, os pré-requisitos de ataque, as ramificações afetadas, as dependências de configuração, e as versões corrigidas uma vez que o PHP publique a atualização de segurança.
Mitigação de CVE-2026-109618 e CVE-2026-109619
Os administradores de PHP devem primeiro construir um inventário preciso de cada implantação de PHP no ambiente. Isso inclui servidores web convencionais Linux e Windows, bem como runtimes PHP incorporados em dispositivos, aplicativos de terceiros, plataformas de hospedagem e produtos de administração como cPanel ou Plesk.
Para uma mitigação imediata de CVE-2026-109619, as organizações devem se preparar para implantar a atualização de segurança emergencial do PHP assim que as versões corrigidas estiverem disponíveis. Aplicativos voltados para a internet devem receber a maior prioridade, pois sistemas remotamente acessíveis geralmente apresentam a maior oportunidade para exploração.
As organizações que usam pacotes de PHP fornecidos por distribuições devem verificar com seu fornecedor de Linux ou provedor de hospedagem por atualizações de segurança backported em vez de assumir que apenas o número de versão do PHP determina a exposição.
Instalações antigas de PHP requerem atenção especial. Se um aplicativo vulnerável estiver rodando uma versão de PHP no fim de seu ciclo de vida para a qual nenhum patch oficial se tornar disponível, as organizações devem priorizar a migração para uma ramificação suportada. Onde a migração imediata é impossível, a exposição deve ser reduzida restringindo o acesso externo, colocando o aplicativo atrás de controles de rede apropriados, ou isolando temporariamente o sistema.
A orientação do CERT-EU referenciada pelo The Hacker News recomenda considerar a isolação de aplicativos voltados para a internet de redes públicas quando uma correção não pode ser imediatamente aplicada.
Os defensores devem adicionalmente fortalecer o monitoramento em torno da execução do PHP. Emitir alertas quando trabalhadores PHP ou processos de servidores web acionarem utilitários como shells, PowerShell, Bash, Python, Perl, curl, wget, ou outros programas que são inesperados para o aplicativo.
Se a exploração for suspeita, isole o servidor afetado e preserve evidências antes da remediação. Artefatos relevantes incluem:
- Logs de acesso e erro do servidor web
- Logs de aplicação e runtime do PHP
- Telemetria de endpoint e processo
- Arquivos recentemente criados ou modificados
- Conteúdo do diretório raiz
- Tarefas cron e agendadas
- Contas ou chaves SSH recentemente criadas
- Conexões de rede de saída
- Autenticação e atividade administrativa
As equipes de segurança também devem buscar retrospectivamente após os indicadores técnicos serem lançados. Se padrões de requisição HTTP específicos de exploração ou características de payload se tornarem públicos, a telemetria histórica da web e proxy poderia identificar tentativas de comprometimento que ocorreram antes das correções serem aplicadas.
As organizações devem evitar confiar apenas em um WAF como substituto permanente para aplicação de patches. Até que as causas técnicas sejam divulgadas, não há regra genérica confirmada para WAF que possa bloquear de forma confiável ambas as vulnerabilidades sem conhecer os mecanismos de exploração.
Ao utilizar a Plataforma de Inteligência de Detecção Nativa em IA da SOC Prime, as equipes de segurança podem continuamente fortalecer sua postura de detecção à medida que novas informações sobre essas vulnerabilidades PHP emergem.
Aviso Legal: O conteúdo de detecção pode não estar disponível para cada CVE. Verifique a Plataforma SOC Prime para cobertura atual. Se detecções relevantes ainda não estiverem disponíveis, volte mais tarde, pois novas informações sobre ameaças e conteúdos de detecções são continuamente adicionados.
FAQ
O que são CVE-2026-109618 e CVE-2026-109619 e como funcionam?
CVE-2026-109618 e CVE-2026-109619 são duas vulnerabilidades críticas do PHP que pesquisadores da watchTowr descrevem como falhas de execução remota de código. O PHP confirmou oficialmente duas questões críticas com pontuações CVSS v4.0 de 9,2, mas ainda não divulgou suas causas técnicas profundas ou mecanismos de exploração. À data da escrita, portanto, não é possível descrever de forma confiável o fluxo de ataque exato. O PHP deve publicar as informações técnicas com seu lançamento de segurança emergencial.
Quando foram descobertos pela primeira vez os CVE-2026-109618 e CVE-2026-109619?
Informações sobre as vulnerabilidades tornaram-se públicas em 20 de outubro de 2026, após detalhes de duas vulnerabilidades de PHP sob embargo supostamente terem vazado antes de sua divulgação planejada. O PHP emitiu seu aviso oficial antecipado mais tarde naquele dia e agendou um lançamento de segurança emergencial para 21 de outubro de 2026, às 14:00 UTC.
Qual é o impacto de CVE-2026-109618 e CVE-2026-109619 nos sistemas?
Pesquisadores de segurança caracterizam ambas as vulnerabilidades como questões de execução remota de código. Se essa avaliação for confirmada pelo PHP, a exploração bem-sucedida poderia potencialmente permitir que um atacante executasse código em um servidor PHP vulnerável e prosseguisse com o desenvolvimento de malware, roubo de credenciais, persistência, movimento lateral ou acesso a dados, dependendo dos privilégios do serviço afetado. O PHP ainda não publicou as condições precisas de exploração, portanto o impacto exato e os pré-requisitos permanecem sujeitos ao futuro comunicado do fornecedor.
CVE-2026-109618 e CVE-2026-109619 ainda podem me afetar em 2026?
Sim. No momento da escrita, em 21 de outubro de 2026, o lançamento de segurança de emergência está agendado para as 14:00 UTC e as vulnerabilidades permanecem sem patches nas versões atualmente implantadas. Pesquisadores afirmaram que as versões do PHP desde o PHP 5 podem ser afetadas, mas o PHP ainda não confirmou oficialmente essa faixa de versão. As organizações devem inventariar todas as implantações e usar o futuro comunicado do fornecedor para determinar a exposição real.
Como posso me proteger de CVE-2026-109618 e CVE-2026-109619?
Prepare-se para instalar as atualizações de segurança do PHP imediatamente quando forem lançadas, priorizando servidores voltados para a internet. Inventarie as instalações de PHP, incluindo runtimes incorporados em aplicativos e dispositivos, e identifique sistemas executando ramificações no fim de seu ciclo de vida. Até que as correções sejam implantadas, aumente o monitoramento para processos filhos PHP incomuns e execução de comandos no lado do servidor. Sistemas que não podem ser corrigidos prontamente devem ter a exposição externa reduzida ou, onde operacionalmente possível, serem isolados temporariamente. Se for encontrada atividade suspeita, isole o servidor e preserve a telemetria web, PHP, de endpoint e de rede para investigação forense.
