PHP2Shell: as vulnerabilidades críticas que colocam 75% dos sites em risco

PHP2Shell é o nome dado a uma família de vulnerabilidades críticas que afetam o núcleo do PHP, a linguagem de programação que alimenta aproximadamente 75% dos sites na internet. As duas falhas — CVE-2026-109618 (corrupção de memória por falta de espaço) e CVE-2026-109619 (uso de memória liberada) — permitem que atacantes executem código malicioso remotamente sem autenticação, extraiam dados sensíveis como senhas e tokens de autenticação, e contornem proteções de aplicações populares como WordPress, Drupal e Joomla. O problema afeta versões do PHP da 5.4 até as 8.x não atualizadas.

Os ataques exploram falhas no motor de PHP (também chamado Zend Engine), que é responsável por traduzir e executar o código PHP no servidor. Na primeira vulnerabilidade, atacantes sobrecarregam a memória do servidor até o limite configurado, causando uma interrupção abrupta que deixa estruturas internas em estado inconsistente. Na segunda, exploram punteiros que continuam apontando para espaço de memória já liberado em requisições subsequentes, permitindo vazar dados e ganhar controle de execução. Por afetarem o mecanismo fundamental da linguagem e não apenas aplicações individuais, essas falhas representam um risco generalizado para toda a web.