PHP2Shell: Como a IA Revelou Vulnerabilidades Críticas no Núcleo do PHP e Acelerou a Defesa de Servidores

Em outubro de 2026, a comunidade global de infraestrutura e cibersegurança foi confrontada com o PHP2Shell: um conjunto de vulnerabilidades críticas no núcleo da linguagem PHP (CVSS 9.2) que permite Execução Remota de Código (RCE) sem autenticação.

Além do impacto direto em sistemas que sustentam mais de 70% da web (WordPress, Drupal, Joomla, Magento e APIs corporativas), o caso é um marco histórico: a pesquisa conduzida pela Wiz Research e documentada pelo Google Cloud utilizou modelos avançados de IA (Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol) para identificar falhas de corrupção de memória que permaneceram invisíveis por mais de 10 anos.

Neste guia técnico, dissecamos os mecanismos das falhas, a terceira CVE divulgada posteriormente e o roteiro prático para proteger servidores em produção.

1. As Vulnerabilidades no Núcleo do PHP

Diferente de brechas comuns causadas por plugins desatualizados, as falhas residem na implementação em C do interpretador PHP:

CVE-2026-109618 — Corrupção de Memória em Out-of-Memory (OOM)

Quando uma requisição excede os limites de memória configurados, o PHP força a interrupção da execução. Se o gatilho de OOM ocorrer durante a inicialização parcial de estruturas internas, o mecanismo de limpeza (garbage collector / cleanup) processa blocos de memória incompletos ou desalocados como se estivessem consistentes. Isso gera corrupção arbitrária de ponteiros e viabiliza a execução de código arbitrário sem login.

CVE-2026-109619 — Use-After-Free (UAF) e OPcache

Determinados estados internos da requisição não eram completamente zerados após a liberação da memória. Quando o processo trabalhador (worker) atendia uma requisição subsequente, ele reutilizava referências para estruturas obsoletas. Como o OPcache gerencia scripts pré-compilados compartilhados entre processos, a violação de isolamento abriu portas para injeção remota de código.

2. A Terceira Vulnerabilidade: CVE-2026-115560

Dois dias após a publicação das correções iniciais, em 23 de outubro de 2026, o projeto PHP e o CERT-EU emitiram um comunicado urgente sobre a CVE-2026-115560: outra falha de RCE associada ao mecanismo de progresso de upload de sessões.

Essa falha não foi corrigida pelas versões de manutenção de 21 de outubro. A mitigação emergencial recomendada é desativar o recurso no php.ini:

; Adicione ou edite no seu php.ini (/etc/php/8.x/fpm/php.ini ou /etc/php.ini)
session.upload_progress.enabled = 0

3. Versões Corrigidas e Auditoria de Pacotes

Verificação do Pacote no Sistema Operacional

Nunca confie apenas em php -v. Distribuições Linux corporativas aplicam correções mantendo a numeração original do pacote:

# Debian / Ubuntu:
dpkg -l | grep -E "php.*(fpm|common|cli)"

# RHEL / CentOS / AlmaLinux:
rpm -qa | grep -E "php.*(fpm|common|cli)"

Aplicação das Atualizações e Reinício de Serviços

# Debian / Ubuntu
sudo apt update && sudo apt install --only-upgrade php*

# RHEL / AlmaLinux
sudo dnf upgrade php\*

# Reinício obrigatório dos daemons:
sudo systemctl restart php8.3-fpm # Ajuste para sua versão ativa
sudo systemctl restart nginx     # ou apache2

4. O Impacto da IA na Dinâmica da Segurança

O PHP2Shell demonstra que a IA alterou definitivamente a pesquisa de segurança ofensiva e defensiva:

• Fuzzing e Raciocínio Semântico: Modelos de IA analisam rapidamente dependências cruzadas em códigos de alta complexidade.
• Janela Zero de Exploração: O intervalo entre o anúncio de uma falha e o desenvolvimento de exploits automatizados encurtou dramaticamente.

A defesa moderna exige visibilidade contínua de ativos, postura agressiva de atualização e detecção comportamental no host.

Artigo completo publicado originalmente no blog de cibersegurança:

👉 PHP2Shell: Análise Completa no Sentinel Vexis One