Vulnerabilidade crítica - Se você usa PHP, seu negócio está em perigo

Exatamente como diz o título. É sério e não deve ser levado na brincadeira.

Foi descoberta uma vulnerabilidade crítica que se rumora que afeta todas as versões do PHP desde a 5.0 em diante. O The PHP Group não revelou os detalhes da vulnerabilidade nem as versões afetadas por questões de segurança, e prometem que amanhã às 2 PM (UTC) lançarão uma atualização de segurança onde este problema será resolvido, por isso ficar atento e atualizar a tempo é primordial... Amanhã é um dia decisivo.

Neste tweet é demonstrado como, usando um script de Python chamado php2shell.py, o atacante a partir de sua própria máquina pode fazer o PHP executar um comando remoto no servidor do site atacado, escrevendo como prova "pwned" em um arquivo novo o qual pode ser acessado publicamente pelo navegador:



O vídeo deixa claro que isto deve ser levado com seriedade, já que demonstra que afeta Laravel, Symphony, Wordpress, phpBB, Magento, Drupal, entre outros... Em suas versões atuais.

Se o seu negócio ou site usa PHP, você deve ficar atento ao anúncio da atualização nas próximas horas. Seus dados correm risco.

Anúncio oficial do The PHP Group: https://www.php.net/archive/2026.php#2026-10-20-1

eriickz disse:

Tal cual como dice el título. Es serio y no debe tomarse a la ligera.

Se ha descubierto una vulnerabilidad crítica que se rumora que afecta a todas las versiones de PHP desde la 5.0 en adelante. The PHP Group no ha revelado los detalles de la vulnerabilidad ni las versiones afectadas por temas de seguridad, y prometen que mañana a las 2 PM (UTC) sacarán una actualización de seguridad donde se resolverá este problema, por lo que estar pendiente y actualizar a tiempo es primordial... Mañana es un día decisivo.

En este tweet se demuestra como usando un script de Python llamado php2shell.py el atacante desde su propia máquina puede hacer a PHP ejecutar un comando remoto en el servidor de la web atacada, escribiendo como prueba "pwned" en un archivo nuevo el cual se puede acceder públicamente desde el navegador:



El video deja en claro que esto debe tomarse con caracter serio, ya que demuestra que afecta a Laravel, Symphony, Wordpress, phpBB, Magento, Drupal, entre otros... En sus versiones actuales.

Si tu negocio o web usa PHP debes estar atento al anuncio de la actualización en las próximas horas. Tus datos corren riesgo.

Anuncio oficial de The PHP Group: https://www.php.net/archive/2026.php#2026-10-20-1

Clique para expandir...

Ahhh, con razón tumbaron a todas las webs de WordPress y más nadie quiso usar WordPress, jajajajajajajaja, y a causa de eso también 0 negocio de dinero para nuestros agentes programadores de este foro que apoyaban la sinvergüenzura y se están auto-trolleando, asustando a los clientes, a sus clientes de tantos ataques a nivel de internet. Es que te digo así, ¿quién carajos va a invertir por internet?

Que marca? va querer invertir por internet?¿ que servicio que nada lo que viven es metiendo la pata xd

Posdata: En mi caso :v los mil 1 un bots del resto, bueno, mi humilde comentario.

obrigado excelente contribuição, nossa, então toca prevenir

Leex disse:

Ahhh, con razón tumbaron a todas las webs de WordPress y más nadie quiso usar WordPress, jajajajajajajaja, y a causa de eso también 0 negocio de dinero para nuestros agentes programadores de este foro que apoyaban la sinvergüenzura y se están auto-trolleando, asustando a los clientes, a sus clientes de tantos ataques a nivel de internet. Es que te digo así, ¿quién carajos va a invertir por internet?

Que marca? va querer invertir por internet?¿ que servicio que nada lo que viven es metiendo la pata xd

Posdata: En mi caso :v los mil 1 un bots del resto, bueno, mi humilde comentario.

Clique para expandir...

El fallo no es wordpress es php

Sans disse:

O erro não é o wordpress, é o php

Clique para expandir...

Por isso mesmo as pessoas deixaram de usar pensando que era o WordPress, mas como o WordPress usa PHP...

Posdata: Insisto, no meu caso eram bots :v meus registros estão aí.

A todas estas @Daniel Muñoz você não era o do AnimeMovil?

Leex disse:

Ahhh, con razón tumbaron a todas las webs de WordPress y más nadie quiso usar WordPress, jajajajajajajaja, y a causa de eso también 0 negocio de dinero para nuestros agentes programadores de este foro que apoyaban la sinvergüenzura y se están auto-trolleando, asustando a los clientes, a sus clientes de tantos ataques a nivel de internet. Es que te digo así, ¿quién carajos va a invertir por internet?

Que marca? va querer invertir por internet?¿ que servicio que nada lo que viven es metiendo la pata xd

Posdata: En mi caso :v los mil 1 un bots del resto, bueno, mi humilde comentario.

Clique para expandir...

Si, nadie mas quiso usar wordpress, solo el 70% de internet xD

Leex disse:

A todas estas @Daniel Muñoz você não era o do AnimeMovil?

Clique para expandir...

Nem ideia do que você está falando, eu faz muito tempo que evito usar PHP e nem se fala de WordPress, mas me sinto mais confortável com outras linguagens

O aviso é importante e, claro, é preciso ficar atento à atualização, mas acho que convém separar o que está confirmado do que ainda está circulando como informação preliminar.

O que está confirmado é que a equipe do PHP anunciou uma atualização extraordinária para hoje, 21 de outubro, por duas vulnerabilidades críticas, ambas com uma pontuação CVSS v4.0 de 9,2. A publicação está prevista para as 14:00 UTC.

O que o PHP ainda não publicou oficialmente são todos os detalhes técnicos, as versões concretas afetadas e as condições necessárias para explorá-las. Por isso, eu teria cuidado no momento em afirmar que afeta todas as versões desde o PHP 5 ou que qualquer instalação atual de WordPress, Laravel, Magento, Drupal, etc. é diretamente vulnerável.

Pelo que os pesquisadores de segurança estão publicando, tratar-se-ia de vulnerabilidades de execução remota de código (RCE) e parece que pelo menos uma delas pôde ser reproduzida, então não é algo para ignorar. Mas uma coisa é a falha estar no PHP e outra é podermos afirmar já que qualquer site desenvolvido com PHP é explorável independentemente da sua versão e configuração.

A Huntress, por exemplo, indica que o suposto intervalo desde o PHP 5 ainda não está confirmado oficialmente e que, quando publicaram sua análise, também não tinham detectado exploração ativa dessas vulnerabilidades em seus ambientes.

Então, eu resumiria a situação em: ficar atento e atualizar assim que possível, sim, mas eu esperaria pelo advisory e pelas versões corrigidas antes de dar como certo que qualquer servidor PHP ou qualquer WordPress está comprometido.

Quando sair a atualização, seria bom adicionar ao tópico as versões afetadas e as versões corrigidas. Assim, os que usamos ou administramos servidores com PHP poderemos verificar exatamente o que temos que atualizar.


Fontes:

PHP (anúncio oficial):
https://www.php.net/archive/2026.php#2026-10-20-1

Huntress (acompanhamento técnico do PHP2Shell):
https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities

BleepingComputer:
https://www.bleepingcomputer.com/ne...ical-flaws-emergency-patches-coming-tomorrow/

Tenho buscado mais informações e deixo algumas fontes porque o assunto parece sério, embora eu ache que continua sendo importante separar o que está confirmado do que procede do vazamento.

O PHP confirmou oficialmente que hoje publicará uma atualização extraordinária para solucionar duas vulnerabilidades críticas, ambas com uma pontuação CVSS v4.0 de 9,2. No próprio anúncio, indicam que com a publicação darão os detalhes completos, versões afetadas e versões corrigidas.

Pesquisadores da watchTowr também indicaram que conseguiram reproduzir pelo menos uma das vulnerabilidades, CVE-2026-109618, mas, por enquanto, não estão publicando os detalhes técnicos até que exista o patch.

O que eu não daria ainda como confirmado é que absolutamente todas as versões desde o PHP 5 são vulneráveis. Essa informação aparece devido ao vazamento prévio, mas o PHP ainda não publicou oficialmente o intervalo completo de versões afetadas.

Tampouco diria, por enquanto, que WordPress, Laravel, Drupal, Magento, etc. tenham uma vulnerabilidade própria. O problema está no PHP e será preciso ver as condições concretas necessárias para explorá-lo e quais versões estão afetadas.

Outro ponto importante é que, atualmente, o PHP só mantém oficialmente as ramificações 8.2, 8.3, 8.4 e 8.5. Se, finalmente, a falha afetar também ramificações antigas que já estão fora de suporte, quem continuar utilizando-as deveria considerar atualizar para uma ramificação suportada, independentemente deste problema.

Então sim, é preciso ficar atento e atualizar assim que publicarem os patches, mas eu esperaria pelo advisory oficial antes de afirmar que qualquer servidor com PHP ou qualquer WordPress é explorável.


Fontes:

PHP – anúncio oficial:
https://www.php.net/archive/2026.php#2026-10-20-1

PHP – versões atualmente suportadas:
https://www.php.net/supported-versions.php

The Hacker News:
https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html

watchTowr – FAQ técnico:
https://watchtowr.com/intelligence/php-cve-2026-109618-faq/

PHP ChangeLog:
https://www.php.net/ChangeLog-8.php

Se já não estão usando wordpress, voltaram para o blogger? Haha ou o que usam pelo menos os menos experientes 🫪

Atualização: O PHP já publicou as versões corrigidas e os detalhes das duas vulnerabilidades críticas.

As vulnerabilidades são CVE-2026-109618 e CVE-2026-109619, ambas relacionadas a problemas de memória que podem terminar em execução remota de código.

As versões corrigidas são:

PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12

O PHP recomenda atualizar imediatamente. Também publicaram patches mínimos para 7.4, 8.0 e 8.1, embora essas ramificações já estejam fora do suporte normal.

Então, o que eu comentava antes já pode ser atualizado com informação oficial: o problema é sério e já existem patches disponíveis.
Quem administra servidores PHP deveria revisar qual versão está utilizando e atualizar o quanto antes.

Fonte oficial: PHP News / Security releases.

Sans disse:

O problema não é o wordpress, é o php

Clique para expandir...

Ha, ha, ha. Se A está construído sobre B e B tem falhas estruturais, você não pode dizer: "A está bem, B é o problema".

Com essa lógica, vou me convencendo do que ouvi em um seminário outro dia: "com tantos 'programadores' que não conhecem os fundamentos e só passam para produção o que a IA faz, invistam tempo e esforço em aprender hacking, porque 90% desses sistemas têm falhas exploráveis".

Na agência onde faço estágio, já deixamos o PHP faz tempo, apostamos em TanStack/NextJS para o front e FastAPI/Java Spring para o back.

WPE disse:

Ha, ha, ha. Se A está construído sobre B e B tem falhas estruturais, você não pode dizer: "A está bem, B é o problema".

Com essa lógica, vou me convencendo do que ouvi em um seminário outro dia: "com tantos 'programadores' que não conhecem os fundamentos e só passam para produção o que a IA faz, invistam tempo e esforço em aprender hacking, porque 90% desses sistemas têm falhas exploráveis".

Na agência onde faço estágio, já deixamos o PHP faz tempo, apostamos em TanStack/NextJS para o front e FastAPI/Java Spring para o back.

Clique para expandir...

O que você diz está implícito na sua própria analogia: "A está bem, B é o problema". Se você aplicar a lógica de programador, saberá que a ordem das dependências e das camadas importa muito na hora de determinar o que pode ser vulnerado, como e com qual alcance.

Tampouco é preciso ir a um seminário para intuir isso; basta entender os fundamentos e não confundir uma tecnologia com a forma em que ela é utilizada.

Sans disse:

O que você diz está implícito na sua própria analogia: "A está bem, B é o problema" Se você aplicar lógica de programador, saberá que a ordem das dependências e das camadas importa muito na hora de determinar o que pode ser vulnerado, como e com qual alcance.

Tampouco é preciso ir a um seminário para intuir isso, basta entender os fundamentos e não confundir uma tecnologia com a forma em que ela é utilizada.

Clique para expandir...

Briga de sabichões!!!!!

já liberaram um patch, hora de atualizar! 🙂

acho que o primeiro patch que lançaram não funcionou

Estive pronto desde as 8AM hora do México para aplicar qualquer atualização, mas no cPanel demorou um bom tempo, eu acho que mais de 3-4 para estar disponível, no Ubuntu Server aconteceu o mesmo comigo, mas no final consegui atualizar, só que com este último o download falhava muito, parece que os servidores de download estavam saturados.

eddddd disse:

acho que o primeiro patch que lançaram não funcionou

Clique para expandir...

Por que você diz isso?

Plaga disse:

Estive pronto desde as 8AM hora do México para aplicar qualquer atualização, mas no cPanel demorou um bom tempo, eu acho que mais de 3-4 para estar disponível, no Ubuntu Server aconteceu o mesmo comigo, mas no final consegui atualizar, só que com este último o download falhava muito, parece que os servidores de download estavam saturados.


Por que você diz isso?

Clique para expandir...

Dizem que as duas vulnerabilidades críticas originais foram corrigidas, mas ainda restariam três vias de ataque adicionais ou relacionadas que continuariam funcionando

eddddd disse:

Dizem que as duas vulnerabilidades críticas originais foram corrigidas, mas ainda restariam três vias de ataque adicionais ou relacionadas que continuariam funcionando

Spoiler: ---

1. var_destroy — uso após liberar memória (UAF)

2. Incompatibilidade de manipuladores (handler mismatch)

3. Injeção de chaves de progresso de upload (upload-progress key injection)

Clique para expandir...

Onde você viu isso? porque no blog da PHP Foundation não há informações além dos últimos posts.