Em 26 de outubro de 2026, a CISA incluiu CVE-2026-109618 e CVE-2026-109619, as duas falhas conhecidas como PHP2Shell, no catálogo de vulnerabilidades conhecidas como exploradas (KEV). O alerta recomenda inventariar o PHP em toda a organização, priorizar sistemas expostos à internet e monitorar processos PHP que iniciem shells ou baixem ferramentas.
O que a inclusão no KEV significa para operadores
A inclusão no KEV marca as duas vulnerabilidades como conhecidas por serem exploradas. Ela ocorreu cinco dias depois de o projeto PHP publicar versões corrigidas, em 21 de outubro. As correções são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O aviso de segurança do projeto PHP detalha as falhas e os lançamentos; a NeoTeo também publicou uma cobertura das versões corrigidas do PHP.
O PHP aponta como afetadas instalações que atendem requisições da web, incluindo PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. As falhas podem permitir execução remota de código sem autenticação. Em CVE-2026-109618, uma condição de falta de memória pode interromper uma requisição durante a inicialização de dados internos. Em CVE-2026-109619, um worker pode reutilizar estado de uma requisição depois que a memória correspondente foi liberada.
O que inventariar, conter e monitorar
A CISA recomenda procurar PHP em toda a organização, inclusive quando estiver incorporado a outros softwares, e dar prioridade aos sistemas acessíveis pela internet. Se um sistema afetado não puder ser atualizado imediatamente ou executar PHP 8.1 ou anterior, a agência recomenda tirá-lo do ar até que possa ser atualizado.
O alerta também orienta monitorar processos PHP que iniciem shells ou baixem ferramentas. A atualização da CISA de 23 de outubro acrescentou uma regra Sigma de detecção. Corrigir o runtime protege contra essas falhas dali em diante, mas não desfaz uma eventual invasão anterior; por isso, a agência também recomenda acompanhar atividades suspeitas.
O projeto PHP não fornece mais atualizações para PHP 8.1 e versões anteriores. Ele publicou backports mínimos do código-fonte para PHP 7.4, 8.0 e 8.1; distribuidores e fornecedores de suporte de longo prazo podem oferecer seus próprios pacotes. O PHP diz que medidas intermediárias reduzem a exposição a caminhos específicos, mas não tornam segura uma instalação vulnerável. Uma firewall de aplicação web (WAF) pode oferecer alguma proteção enquanto a atualização está pendente, segundo a CISA.
O que as métricas da Wiz contabilizam
A Wiz relatou três mudanças em sua telemetria. Cada uma se refere a uma população ou período diferente.
| Métrica | Variação relatada | População e período |
| Máquinas vulneráveis distintas expostas à internet | Queda de aproximadamente 67% | Contagem diária após a divulgação pública em 21 de outubro |
| Organizações com ao menos uma instância vulnerável exposta | Queda de aproximadamente 47,9% | Organizações observadas após a divulgação pública |
| Parcela de máquinas vulneráveis expostas com PHP 7.3 ou anterior | De 8,3% para 5,7% | População observada ao longo de cinco dias |
A Wiz alerta que a cobertura das varreduras e mudanças na população observada podem influenciar essas tendências. Os dados não isolam quanto da redução veio de correções, atualizações, retirada de máquinas de operação ou restrições de acesso à internet. Portanto, as quedas descrevem a telemetria da Wiz, não um censo global nem o efeito comprovado de uma única medida de resposta.
