<?php Verificação independente de segurança do PHP
Seu PHP é afetado pelo PHP2Shell?
Duas falhas críticas no próprio PHP permitem execução remota de código. Elas foram corrigidas em 21 de outubro de 2026. Verifique o que um site revela sobre sua versão do PHP, ou cole uma string de versão — e veja exatamente o que fazer.
- Passiva: uma requisição comum, sem exploit
- Gratuita, sem cadastro, sem anúncios
- Baseada no php.net e nos avisos oficiais
2Verificar uma versão
Avaliado no seu navegador — nada é enviado para nós. Uma versão por linha, até 20.
01 · php.net · 2026-10-23
Versões corrigidas
| Branch | Corrigida em | Status do branch |
|---|---|---|
| PHP 8.5 | 8.5.12 | Com suporte ativo |
| PHP 8.4 | 8.4.27 | Com suporte ativo |
| PHP 8.3 | 8.3.36 | Somente correções de segurança |
| PHP 8.2 | 8.2.35 | Somente correções de segurança — fim de vida em 31 dez 2026 |
| PHP 8.1 · 8.0 · 7.x · 5.x | Sem release oficial | Fim de vida — sem release do projeto PHP |
Fonte: aviso de segurança do php.net, 21 de outubro de 2026. Última verificação em 2026-10-23.
O que é o PHP2Shell?
PHP2Shell é o nome que pesquisadores deram a duas vulnerabilidades no motor do PHP: CVE-2026-109618 (corrupção de memória quando o PHP fica sem memória ao processar uma requisição) e CVE-2026-109619 (estado interno que persiste de uma requisição para a seguinte no mesmo worker). Ambas têm nota CVSS v4.0 de 9.2.
Um atacante não autenticado pode executar código no servidor ou ler a memória do processo PHP — incluindo senhas, tokens de sessão, chaves de API e certificados de outras requisições — sem executar código algum. Segundo o php.net, elas afetam o PHP que atende requisições web: PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. Os pesquisadores demonstraram ataques contra WordPress, Drupal e Joomla, mas nenhuma aplicação específica é necessária: até uma simples página “Hello World” em um PHP afetado fica exposta.
O que fazer agora
- Atualize para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 — ou para o pacote corrigido da sua distribuição.
- Reinicie todos os processos PHP: PHP-FPM, Apache, workers de filas, contêineres. A atualização só passa a valer depois disso.
- Verifique cada PHP do servidor — painéis costumam instalar várias versões lado a lado.
02 · shell
Verifique no próprio servidor
Uma verificação do site só enxerga o que o servidor decide revelar. No servidor, estes comandos dão a resposta real:
# versão do PHP padrão
php -v
# outras versões do PHP instaladas por painéis ou pacotes
ls -d /usr/bin/php* /usr/sbin/php-fpm* /opt/alt/php*/usr/bin/php /opt/cpanel/ea-php*/root/usr/bin/php /opt/plesk/php/*/bin/php 2>/dev/null
# configurações relacionadas às mitigações parciais
php -i | grep -E 'session.upload_progress.enabled|post_max_size|memory_limit|fatal_error_backtraces'
# o que seu site revela aos visitantes
curl -sI https://seu-site.com/ | grep -i -E '^(x-powered-by|server):'03 · FAQ
Perguntas comuns
Quais versões do PHP são afetadas?
Todas as versões anteriores a 8.5.12, 8.4.27, 8.3.36 e 8.2.35 nos branches com suporte. PHP 8.1 e anteriores estão em fim de vida e não recebem release do projeto PHP; considere-os afetados, a menos que seu fornecedor confirme um backport da correção.
Meu site não mostra a versão do PHP. Estou seguro?
Não necessariamente. Ocultar a versão (expose_php = Off) é uma boa prática, mas não corrige nada. Verifique no servidor com php -v ou pergunte ao seu provedor.
O verificador mostra uma versão antiga, mas minha hospedagem diz que está corrigida. Quem está certo?
Possivelmente ambos. Distribuições Linux como Debian, Ubuntu e RHEL costumam fazer backport de correções de segurança sem alterar o número de versão. Pergunte à sua hospedagem qual build do pacote está instalado e se o changelog menciona as CVE-2026-109618 e CVE-2026-109619.
WordPress, Laravel ou meu CMS são afetados?
As falhas estão no próprio PHP, então qualquer aplicação rodando em um PHP afetado fica exposta. Os pesquisadores demonstraram ataques sem autenticação contra WordPress, Drupal e Joomla, mas eram apenas exemplos — até uma simples página “Hello World” basta. Atualizar o WordPress ou os plugins não resolve — o PHP precisa ser atualizado.
Dados podem vazar mesmo sem execução de código?
Sim. A CVE-2026-109619 pode expor a memória do processo PHP — senhas, tokens de sessão, chaves de API e certificados de outras requisições — sem que o atacante execute código. Esses vazamentos não deixam arquivos e são difíceis de detectar, então troque os segredos de qualquer site que tenha rodado uma versão afetada na internet.