PHP2Shell: a correção chegou ao processo que atende o site?
O inventário precisa chegar ao PHP que processa as requisições. Relacione pacote, modo de execução e processos ativos, mantendo uma investigação própria do período anterior.
Read in EnglishPor Pentesty
Duas notícias, uma decisão sobre o ambiente de execução
As reportagens sobre tentativas anteriores à divulgação e correções emergenciais motivaram esta análise conjunta. Em 21 de outubro, o projeto PHP publicou versões corrigidas para CVE-2026-109618 e CVE-2026-109619: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. A atualização é a solução completa; medidas de configuração cobrem apenas caminhos específicos.
O modo de execução muda as condições relevantes
O aviso da CVE-2026-109618 confirma execução remota em mod_php antes do código da aplicação e considera PHP-FPM suscetível, sem exploração completa demonstrada nesse modo. Para a CVE-2026-109619, requisições precisam alcançar o mesmo processo de trabalho; o caminho validado em FPM depende de uma operação adequada da aplicação.
Use essas diferenças para formular perguntas ao fornecedor e ao operador. Identifique o modo de execução, as extensões e as configurações do serviço analisado. Um nome de framework ou um teste de página inicial deixa essas condições sem resposta. A equipe precisa saber qual ambiente sustenta sua decisão e quais aspectos ainda dependem de confirmação.
Vincule pacote, processo e serviço web
Escolha uma aplicação prioritária e siga o caminho da requisição até quem executa PHP. Registre o servidor, a imagem ou pacote, o conjunto de processos e seu responsável. Relacione a informação de versão obtida com a instância que atende tráfego, incluindo serviços gerenciados por terceiros.
O aviso do PHP orienta consultar distribuições e fornecedores LTS para correções adaptadas. Peça a identificação completa do pacote e sua correspondência com ambos os CVEs. A análise de atualização do OpenSSL complementa a conferência do componente em uso; aqui, também importa qual processo PHP executa cada aplicação.
Combine com operações como substituir os processos persistentes e verificar o estado após a mudança. Inclua réplicas, pools e imagens usadas em recriações. Cada exceção precisa de um dono, uma condição de revisão e evidência que permita distinguir instalação concluída de serviço efetivamente atualizado.
Dê prazo e evidência aos controles temporários
Se a atualização depender de outra equipe, registre a restrição temporária aprovada e a parte da exposição que ela pretende reduzir. Consulte os avisos técnicos correspondentes e avalie impacto na disponibilidade. Esta análise não prescreve remover limites de memória nem transformar uma configuração isolada em comprovação de correção.
Verifique a função legítima que deve continuar disponível e quem acompanha mudanças na orientação do fornecedor. A revisão de controles WAF ajuda a separar bloqueio compensatório e atualização. Um resultado favorável no controle de entrada precisa continuar ligado à pendência de correção do ambiente de execução.
Investigue o período anterior à publicação
Em 21 de outubro, a Amazon relatou uma tentativa observada pelo MadPot em 17 de outubro e outras no dia 21. Não determinou se essas tentativas teriam sucesso em sistemas reais. Recomendou investigar desde pelo menos o dia 17, sem tratar a divulgação como início automático do período relevante.
Preserve os registros disponíveis e documente sua cobertura temporal. Correlacione evidências de processos, requisições e alterações com mudanças autorizadas, encaminhando indícios aos responsáveis pela resposta. O estado atual do pacote e a análise de atividade anterior precisam ter resultados próprios. Lacunas de coleta devem permanecer explícitas.
Feche a mudança com uma amostra verificável
Em ambiente autorizado, use dados fictícios e uma operação habitual da aplicação para confirmar continuidade após a atualização. Inclua uploads ou processamento em segundo plano quando fizerem parte da função legítima. Reproduzir exploração ou provocar esgotamento de memória não é necessário para demonstrar a entrega do pacote e o estado do serviço.
- Origem: aviso aplicável e identificação do pacote ou imagem corrigidos.
- Execução: serviço, processos examinados e horário da verificação após a mudança.
- Continuidade: operação legítima, resultado observado e responsável pelo aceite.
- Pendências: réplicas não verificadas, limitações e investigação anterior ainda em curso.
Atualização de 23 de outubro: uma pendência específica de sessões
Atualização editorial: 23 de outubro de 2026
Segundo o aviso do PHP, de 23 de outubro, a CVE-2026-115560 depende de php_binary ou php_serialize em session.serialize_handler, trocado para php via ini_set() antes de session_start(), com upload progress habilitado. Para essa combinação, recomenda session.upload_progress.enabled=0 até a próxima correção regular, sem informar versão. Mantenha a medida já aplicada.
Mantenha o registro de entrega das correções anteriores e abra uma verificação específica para o novo aviso. Peça ao responsável pela aplicação que relacione configuração efetiva e comportamento do código. Uma captura de versão, isoladamente, não responde a essa pergunta. Se a análise estiver incompleta, registre a aplicabilidade como pendente, com responsável e prazo para conferir os componentes restantes.
Se a medida temporária entrar no escopo, combine sua aplicação com operações e confira o funcionamento legítimo usando dados sintéticos. Guarde a evidência por serviço e processo, evitando concluir que todas as réplicas foram verificadas a partir de uma amostra. Acompanhe o próximo comunicado oficial antes de trocar a pendência por uma afirmação de correção definitiva.
Atualização de 26 de outubro: confira o rebuild Windows e o Brotli
Atualização editorial: 26 de outubro de 2026
Os pacotes oficiais para Windows receberam o sufixo -1, como 8.5.12-1. O SBOM desse pacote registra Brotli 1.2.1, cuja versão corrigida trata a CVE-2026-111497. O runtime e o código-fonte permanecem iguais.
Confira se o cliente HTTP da aplicação descomprime respostas externas no percurso avaliado. A documentação do cURL mostra que aplicações podem ativar a descompressão automática de respostas. A Imperva demonstrou RCE em Node.js 24.22.0/Linux arm64, com sucesso em parte das tentativas; esse resultado não valida exploração em PHP para Windows.
Para aceitar a mudança, relacione pacote, arquitetura, variante TS/NTS e identificação criptográfica publicada ao serviço que o executa. Guarde o identificador do artefato implantado e confirme a dependência no inventário correspondente. O número principal de versão, sozinho, não diferencia esses rebuilds. Refaça uma operação legítima com resposta comprimida, usando origem e dados controlados, após a substituição planejada dos processos.
Mantenha separadas as correções anteriores, a pendência de sessões e a investigação do período anterior. Se um cliente HTTP depender de descompressão, registre a configuração efetiva e seu responsável antes de mudar o comportamento. Qualquer restrição temporária exige teste de continuidade e prazo; ela não comprova a correção de todos os caminhos.
Perguntas frequentes
Atualizar WordPress ou Laravel encerra a correção?
A tarefa precisa alcançar o ambiente de execução PHP. Relacione a atualização à instância que processa o serviço e confirme separadamente suas dependências.
Usar PHP-FPM elimina o risco?
Os avisos descrevem condições diferentes para cada falha. Identifique o modo e a aplicação efetivos, consulte os detalhes e aplique a correção correspondente.
As tentativas no MadPot comprovam invasão da minha empresa?
Não. A telemetria da Amazon não estabelece comprometimento do seu ambiente. Uma conclusão exige evidências próprias, período de observação e limites de coleta.
Qual evidência permite encerrar a atualização?
Vincule pacote corrigido, processos em uso e funcionamento legítimo. Registre cobertura e exceções; a investigação de acessos anteriores continua com decisão e responsável próprios.
Fontes e referências
- PHP: aviso e versões corrigidas de 21 de outubro de 2026
- PHP GHSA-w8hw-w9fx-j79w: condições da CVE-2026-109618
- PHP GHSA-6wmf-4rv5-p3rp: condições da CVE-2026-109619
- Amazon: tentativas observadas pelo MadPot desde 17 de outubro
- Cyber Security Brazil: referência editorial da notícia
- Cyber Security Brazil: referência editorial da notícia
Análise original da Pentesty, publicada em 22 de outubro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.