Verificador de vulnerabilidade online gratuito, matriz de versões seguras mínimas do PHP (8.5.12, 8.4.27, 8.3.36, 8.2.35) e guias de correção.
Verificação passiva: envia uma única requisição GET não destrutiva para inspecionar cabeçalhos HTTP. Sem exploit ou corpo POST.
Fonte: Lançamentos de segurança do php.net e avisos do GitHub (publicados em 21 de outubro de 2026).
| Ramo PHP | Escopo Vulnerável | Primeira Versão Corrigida | Status Oficial e Ação Necessária |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | 8.5.12 | Suporte Ativo — Atualizar para 8.5.12+ |
| PHP 8.4 | < 8.4.27 | 8.4.27 | Suporte Ativo — Atualizar para 8.4.27+ |
| PHP 8.3 | < 8.3.36 | 8.3.36 | Suporte Ativo — Atualizar para 8.3.36+ |
| PHP 8.2 | < 8.2.35 | 8.2.35 | Apenas Segurança (Fim dez 2026) — Atualizar para 8.2.35+ |
| PHP 8.6 | < 8.6.0RC4 | 8.6.0RC4 | RC de Desenvolvimento — Apenas testes, não usar em produção |
| PHP 8.1, 8.0, 7.4 | Todas as versões | Sem lançamento oficial | Fim de Vida (EOL) — Vulnerável a menos que haja backport da distribuição |
| PHP 5.4 – 7.3 | Todas as versões | Sem correção disponível | Legado Vulnerável — Sem correção oficial — desativar session.upload_progress |
Ubuntu, Debian e RHEL realizam backport de patches de segurança sem alterar a versão principal (ex: Ubuntu 22.04 inclui 8.1.2-1ubuntu2.28). Verifique o changelog do pacote antes de se alarmar.
Siga estas etapas em ordem rigorosa. Nada mais fornece proteção completa contra o PHP2Shell.
Audite servidores web, contêineres Docker, imagens base e ambientes de homologação. Observe que a versão CLI (php -v) pode ser diferente daquela executada pelo PHP-FPM ou Apache.
Ver comandos de inventário →Atualize para as versões oficiais: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. A atualização de plugins de CMS (WordPress, Drupal, Laravel) NÃO corrige vulnerabilidades no núcleo do PHP.
Selecionar guia da plataforma →ETAPA CRÍTICA: Os binários atualizados só entram em vigor quando os pools de workers são reiniciados. Reinicie imediatamente o PHP-FPM, Apache, FrankenPHP e workers de fila.
Confirme se o servidor web ativo reporta a versão corrigida. Audite os logs de acesso desde o início de outubro de 2026 para falhas anormais em uploads multipart e rotacione credenciais críticas.
Executar diagnóstico novamente →Comandos de atualização passo a passo, verificação de changelog e procedimentos de reinicialização adaptados à sua infraestrutura.
Verifique versões de pacotes com dpkg, confirme backports de CVE no changelog, atualize via apt-get e reinicie pools do php-fpm com segurança.
Ler Guia Ubuntu / DebianContêineres não se atualizam sozinhos. Baixe imagens base oficiais corrigidas (ex: php:8.3.36-fpm), reconstrua os stacks e faça deploy seguro.
Ler Guia DockerAudite configurações multi-versão do EasyApache 4 e pacotes alt-php da CloudLinux. Verifique changelogs RPM e atualize via dnf/yum.
Ler Guia cPanelComo proteger sites WordPress em hospedagem compartilhada sem acesso root. Modelos de chamado para o suporte e mitigação temporária via WAF.
Ler Guia WordPressImplemente filtros de borda emergenciais antes de agendar atualizações de backend. Sintaxe de regras WAF e limitações de inspeção de corpo.
Ler Guia Cloudflare WAFComandos prontos para copiar e colar para RHEL, Plesk, aaPanel e FrankenPHP para inspecionar builds em execução ativa.
Ir para ComandosExecute estes comandos via SSH em seus servidores para determinar a versão real do pacote PHP em execução:
dpkg -l 'php*' 'libapache2-mod-php*' | grep ^ii
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php*-common/changelog*rpm -qa | grep -Ei "^(php|ea-php|alt-php)" | sort
rpm -q --changelog php-common | grep -E "CVE-2026-10961[89]"docker exec -it <container_name> php -v
docker exec -it <container_name> php -m | grep sessionNão necessariamente. Ocultar o cabeçalho X-Powered-By apenas esconde a versão; isso não corrige a falha de segurança subjacente. Execute os comandos CLI diretamente no servidor.
Não. Ele envia apenas uma requisição GET convencional e não destrutiva para inspecionar cabeçalhos de resposta HTTP. Não transmite payloads, corpos POST nem realiza varreduras de caminhos.
Sim. Desativar session.upload_progress.enabled = Off no seu php.ini global e recarregar o PHP-FPM neutraliza a rota primária de ataque UAF. No entanto, atualizar o PHP é a única solução definitiva.
Atualizações de pacotes apenas substituem arquivos em disco. Os processos workers em execução retêm o código vulnerável na memória RAM até que os serviços sejam reiniciados.
Não. Embora regras de WAF possam bloquear assinaturas conhecidas, invasores podem alterar delimitadores multipart ou fragmentar requisições para contornar os limites de inspeção do WAF.
Sim. Todas as versões do PHP de 5.4 a 8.5 são estruturalmente vulneráveis à falha de UAF no RFC1867. Por estarem em fim de suporte (EOL), você deve aplicar backports ou desativar o upload_progress.
Execuções puras em CLI sem processamento de uploads multipart POST geralmente não estão expostas. Porém, interfaces SAPI expostas na web (PHP-FPM, Apache mod_php, FrankenPHP, Swoole) são totalmente vulneráveis.
Não. Plugins de segurança operam no espaço de usuário do PHP DEPOIS que o motor interpreta as requisições multipart. A falha ocorre no código nativo em C antes de qualquer plugin ser executado.
Análise técnica de como o PHP2Shell ataca sistemas protegidos por ASLR sem vazamento interativo de memória: falhas de PIE, herança de fork(), matriz por distribuição e throttling de crashes.
Telemetria de honeypots em Frankfurt e Silicon Valley: como atacantes weaponizaram o PHP2Shell em RCE automatizada sem leaks complexos, e armadilhas típicas na análise de incidentes.
Análise em nível C de CVE-2026-109619: php_session_rfc1867_callback cacheia ponteiros zval brutos em estado global e dispara Use-After-Free durante resets de sessão.
Aviso técnico sobre PHP2Shell (CVE-2026-109618 e CVE-2026-109619). RCE não autenticado afetando o core do PHP em PHP-FPM, Apache mod_php e FrankenPHP. Afetados: PHP 5.4–8.5.
Procedimento passo a passo para CVE-2026-109618 e CVE-2026-109619: hardening do php.ini sem downtime, regras de borda no Nginx e backport do commit 1d7dec1 para PHP 8.1 EOL.
Análise arquitetural da cadeia RCE do PHP2Shell: reutilização de bins do ZMM, construção de fake zval de 16 bytes, bypass de ASLR e hijack de vtable até system().
Análise de payloads compactos do PHP2Shell: por que RCE funcional cabe em menos de 500 bytes, por que regras por tamanho e regex falham e como boundaries multipart são abusados.
Playbook de engenharia defensiva para PHP2Shell: assinaturas Suricata prontas (SID 10261092), regras Falco de spawn de processo e configuração Linux auditd para rastreabilidade forense.
Playbook end-to-end para DevOps e arquitetos de segurança contra PHP2Shell (CVE-2026-109618 / CVE-2026-109619): regras de borda Nginx, patches virtuais Coraza/ModSecurity e sandboxing systemd.
Hardening de kernel para PHP-FPM: como Seccomp-BPF bloqueia execve, fork e clone para que RCE do PHP2Shell falhe no kernel — incluindo configurações Docker, Kubernetes e Tetragon.