O Centro de Segurança da Tencent Cloud publicou um comunicado em 21 de outubro, alertando sobre a vulnerabilidade de execução remota de código do PHP php2shell, relacionada aos identificadores CVE-2026-109618 e CVE-2026-109619.
O que torna essa vulnerabilidade preocupante é que o atacante não precisa fazer login nem ter uma conta: basta enviar uma solicitação POST multipart especialmente criada para, potencialmente, provocar corrupção de memória e obter a capacidade de executar código remotamente. Em teoria, isso permitiria controlar completamente os servidores afetados. Vulnerabilidades desse tipo, na camada da linguagem, representam uma pressão considerável para sistemas tradicionais executados na nuvem.
A Casa Branca dos Estados Unidos já havia sido informada sobre o caso em 16 de outubro e está coordenando ações com agências federais, laboratórios de integração de sistemas e operadoras de rede para acelerar a disponibilização de correções e avaliar o impacto nos sistemas governamentais e na infraestrutura crítica. O envolvimento simultâneo de provedores de nuvem e do governo indica que o risco deixou de ser um “bug comum de código aberto” e passou a representar uma ameaça à infraestrutura.
Ainda faltam informações públicas sobre o escopo das versões afetadas e o cronograma oficial das correções. No curto prazo, o mais prudente é verificar se os sistemas da sua empresa dependem da tecnologia PHP, acompanhar as orientações de correção dos fornecedores e tratar este incidente como uma avaliação de segurança da infraestrutura, em vez de apenas mais uma notícia a ser lida rapidamente.
O que torna essa vulnerabilidade preocupante é que o atacante não precisa fazer login nem ter uma conta: basta enviar uma solicitação POST multipart especialmente criada para, potencialmente, provocar corrupção de memória e obter a capacidade de executar código remotamente. Em teoria, isso permitiria controlar completamente os servidores afetados. Vulnerabilidades desse tipo, na camada da linguagem, representam uma pressão considerável para sistemas tradicionais executados na nuvem.
A Casa Branca dos Estados Unidos já havia sido informada sobre o caso em 16 de outubro e está coordenando ações com agências federais, laboratórios de integração de sistemas e operadoras de rede para acelerar a disponibilização de correções e avaliar o impacto nos sistemas governamentais e na infraestrutura crítica. O envolvimento simultâneo de provedores de nuvem e do governo indica que o risco deixou de ser um “bug comum de código aberto” e passou a representar uma ameaça à infraestrutura.
Ainda faltam informações públicas sobre o escopo das versões afetadas e o cronograma oficial das correções. No curto prazo, o mais prudente é verificar se os sistemas da sua empresa dependem da tecnologia PHP, acompanhar as orientações de correção dos fornecedores e tratar este incidente como uma avaliação de segurança da infraestrutura, em vez de apenas mais uma notícia a ser lida rapidamente.