{"id":34927,"date":"2026-10-29T12:28:23","date_gmt":"2026-10-29T12:28:23","guid":{"rendered":"https:\/\/blog.lacnic.net\/vulnerabilidad-php2shell-en-la-region-de-lacnic\/"},"modified":"2026-10-29T12:31:27","modified_gmt":"2026-10-29T12:31:27","slug":"vulnerabilidade-php2shell","status":"publish","type":"post","link":"https:\/\/blog.lacnic.net\/pt-br\/vulnerabilidade-php2shell\/","title":{"rendered":"Vulnerabilidade PHP2Shell na regi\u00e3o do LACNIC"},"content":{"rendered":"\n

Por Guillermo Pereyra<\/a><\/p>\n\n\n\n

Em outubro de 2026, foram divulgadas duas vulnerabilidades cr\u00edticas no PHP, a linguagem de programa\u00e7\u00e3o que est\u00e1 na base de boa parte da web. Estas vulnerabilidades foram identificadas por pesquisadores da Calif, da OpenAI e da Wiz, com o aux\u00edlio de modelos de intelig\u00eancia artificial, e a not\u00edcia acendeu um alerta imediato na comunidade de ciberseguran\u00e7a.<\/p>\n\n\n\n

Entre 20 e 22 de outubro de 2026, a PHP2Shell passou de rumor \u00e0 disponibiliza\u00e7\u00e3o de um patch e, em seguida, \u00e0 publica\u00e7\u00e3o de listas de indicadores de comprometimento\u00a0 (IoCs).<\/p>\n\n\n\n

Em poucos dias, diferentes fornecedores de solu\u00e7\u00f5es de seguran\u00e7a publicaram endere\u00e7os IP, dom\u00ednios e hashes associados \u00e0 explora\u00e7\u00e3o dessas vulnerabilidades.<\/p>\n\n\n\n

Neste artigo, analisaremos o que as fontes p\u00fablicas revelam sobre o avan\u00e7o da aplica\u00e7\u00e3o de corre\u00e7\u00f5es na Am\u00e9rica Latina e no Caribe e apresentaremos recomenda\u00e7\u00f5es para mitigar os riscos e corrigir essa vulnerabilidade.<\/p>\n\n\n\n

PHP2Shell, o que \u00e9  e quem \u00e9 atingido por ele<\/strong><\/h2>\n\n\n\n

PHP2Shell \u00e9 o nome pelo qual s\u00e3o conhecidas duas vulnerabilidades no pr\u00f3prio interpretador do PHP: CVE-2026-109618 e CVE-2026-109619. Ambas t\u00eam n\u00edvel de severidade CVSS 4.0 de 9,2 (9,8 no CVSS 3.1) e permitem a execu\u00e7\u00e3o remota de c\u00f3digo, sem necessidade de autentica\u00e7\u00e3o, por meio de requisi\u00e7\u00f5es HTTP.<\/p>\n\n\n\n

A severidade, no entanto, \u00e9 apenas um dos crit\u00e9rios para definir prioridades. Quando a cruzamos com outros dois indicadores, o cen\u00e1rio muda:<\/p>\n\n\n\n

\n\n\n\n\n\n
\n

Indicador<\/p>\n<\/td>\n

\n

CVE-2026-109618<\/strong><\/p>\n<\/td>\n

\n

CVE-2026-109619<\/strong><\/p>\n<\/td>\n

\n

O que mede<\/p>\n<\/td>\n<\/tr>\n

\n

CVSS v4.0<\/p>\n<\/td>\n

\n

9.2<\/p>\n<\/td>\n

\n

9.2<\/p>\n<\/td>\n

\n

Gravidade t\u00e9cnica em caso de explora\u00e7\u00e3o<\/p>\n<\/td>\n<\/tr>\n

\n

EPSS (FIRST, 26\/10)<\/p>\n<\/td>\n

\n

99,981%<\/p>\n<\/td>\n

\n

99,997%<\/p>\n<\/td>\n

\n

Probabilidade de explora\u00e7\u00e3o nos pr\u00f3ximos 30 dias<\/p>\n<\/td>\n<\/tr>\n

\n

Cat\u00e1logo KEV (CISA, 26\/10)<\/p>\n<\/td>\n

\n

N\u00e3o inclu\u00edda<\/p>\n<\/td>\n

\n

N\u00e3o inclu\u00edda<\/p>\n<\/td>\n

\n

Explora\u00e7\u00e3o confirmada<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table><\/figure>\n\n\n\n

O EPSS da CVE-2026-109618 passou de 11,84% para 99,98% em 25 de outubro, segundo o hist\u00f3rico do CVEdetails<\/a>. Em 26 de outubro, a API p\u00fablica do FIRST atribuiu pontua\u00e7\u00f5es de 99,981% \u00e0 CVE-2026-109618 e de 99,997% \u00e0 CVE-2026-109619. Ambas as vulnerabilidades est\u00e3o no percentil mais alto dentre todas as avaliadas. Por outro lado, em 26 de outubro, nenhuma das duas constava no cat\u00e1logo KEV<\/a> da CISA, que inclui apenas vulnerabilidades cuja explora\u00e7\u00e3o foi confirmada. Em 21 de outubro, a CISA publicou um alerta recomendando a aplica\u00e7\u00e3o urgente de patches, mesmo sem ter observado atividades de explora\u00e7\u00e3o, conforme resumido pela Tenable<\/a>.<\/p>\n\n\n\n

Por afetar o pr\u00f3prio PHP e n\u00e3o uma aplica\u00e7\u00e3o espec\u00edfica, o alcance \u00e9 enorme. Qualquer site que utilize uma vers\u00e3o vulner\u00e1vel do PHP pode estar exposto, seja ele baseado em WordPress, Drupal, Joomla ou em um desenvolvimento pr\u00f3prio. As vers\u00f5es corrigidas s\u00e3o 8.2.35, 8.3.36, 8.4.27 e 8.5.12, publicadas em 21 de outubro. As vers\u00f5es da s\u00e9rie 8.1 e anteriores j\u00e1 n\u00e3o recebem atualiza\u00e7\u00f5es oficiais editadas.<\/p>\n\n\n\n

Os detalhes das vulnerabilidades vazaram antes da data prevista, e a equipe do PHP antecipou a disponibiliza\u00e7\u00e3o do patch. Al\u00e9m disso, a Amazon manifestou <\/a>\u00a0que sua rede de honeypots registrou uma tentativa de explora\u00e7\u00e3o em 17 de outubro, quatro dias antes da disponibiliza\u00e7\u00e3o p\u00fablica do patch.<\/p>\n\n\n\n

\u00c9 importante n\u00e3o confundir essas vulnerabilidades com a CVE-2026-115560, divulgada em 23 de outubro, as quais algumas listas agrupam sob o mesmo nome. Trata-se de um outro problema, que exige uma configura\u00e7\u00e3o pouco comum e para o qual n\u00e3o h\u00e1 relatos de explora\u00e7\u00e3o, segundo o The Hacker News<\/a>.<\/p>\n\n\n\n

A regi\u00e3o e a aplica\u00e7\u00e3o de patches<\/strong><\/h2>\n\n\n\n

A Censys mant\u00e9m um painel p\u00fablico<\/a> que monitora, hora a hora, quantos servi\u00e7os PHP expostos na Internet utilizam vers\u00f5es vulner\u00e1veis ou corrigidas, com detalhamento de cada pa\u00eds. Baseados nesses dados, analisamos 21 pa\u00edses da regi\u00e3o.<\/p>\n\n\n\n

Em 26 de outubro, na Am\u00e9rica Latina e no Caribe, 12,8% dos servi\u00e7os PHP, com vers\u00e3o identificada, j\u00e1 tinham sido corrigidos. Em n\u00edvel global, esse percentual era de 25,1%. A regi\u00e3o aplica patches \u00e0 metade da velocidade observada no restante do mundo.<\/p>\n\n\n\n

Ambos os percentuais consideram como n\u00e3o corrigidos os servidores que utilizam vers\u00f5es do PHP para as quais j\u00e1 n\u00e3o s\u00e3o disponibilizadas corre\u00e7\u00f5es, como a 7.4 e as anteriores. Esses servidores s\u00e3o vulner\u00e1veis e n\u00e3o h\u00e1 atualiza\u00e7\u00e3o dispon\u00edvel para aplicar. A Censys n\u00e3o divulga, conforme o pa\u00eds, quantos servidores se encontram nessa situa\u00e7\u00e3o. Portanto, n\u00e3o \u00e9 poss\u00edvel definir qual parcela dos 87% restantes na regi\u00e3o precisa atualizar o PHP e qual precisa migrar para uma vers\u00e3o com suporte.<\/p>\n\n\n\n

\"vulnerabilidad-php2shell-en-la-region-de-lacnic\"\/<\/figure>\n\n\n\n
\"vulnerabilidad-php2shell-en-la-region-de-lacnic\"\/<\/figure>\n\n\n\n

Outros dados ajudam a compreender o cen\u00e1rio:<\/p>\n\n\n\n