---
title: "PHP2Shell: IA encontra falhas em código de 70% da web"
author: "Ignácio Afonso"
date: "2026-10-22 06:12:58.843-03"
category: "Segurança & Privacidade"
url: "http://desbugados.scale.press/portal/desbugados/post/2026/10/22/php2shell-ia-encontra-falhas-em-codigo-de-70-da-web/md"
---

## Resumo
- Duas vulnerabilidades críticas no PHP foram divulgadas em 21 de outubro de 2026 sob o nome PHP2Shell.
- As falhas permitem execução remota de código e afetam versões do PHP entre 5.4 e 8.5.
- Modelos de IA ajudaram pesquisadores a encontrar os problemas no motor do PHP.
- A resposta coordenada pela OpenAI levou aproximadamente dois meses.
- Organizações europeias colocaram sites offline como medida preventiva durante a preparação das correções.
- A CISA recomendou atualizar para versões específicas ou desligar sistemas que não pudessem ser corrigidos imediatamente.

---

Em **21 de outubro de 2026**, duas falhas críticas no **PHP** foram divulgadas sob o nome [PHP2Shell](https://thenewstack.io/ai-php2shell-disclosure-framework), atingindo versões do sistema usadas por cerca de **70% da web**. O problema permitia execução remota de código, isto é, a capacidade de rodar comandos no servidor sem autorização, e levou administradores a considerar a retirada temporária de serviços do ar. A história interessa menos pelo nome dramático do que pela combinação que ele revela: a IA ajudou a encontrar um defeito antigo, enquanto a correção exigiu cerca de dois meses e decisões operacionais imediatas.

## O que a IA encontrou no motor do PHP

Por trás do apelido estão as vulnerabilidades **CVE-2026-109618** e **CVE-2026-109619**, classificadas com pontuação **9,2 na escala CVSS v4.0**, usada para medir a gravidade de falhas de segurança. Os erros ficam no motor do PHP e envolvem use-after-free, quando um programa tenta acessar uma área de memória já liberada, e confusão de tipos, quando um dado é tratado como se fosse de outro tipo. As falhas afetam versões do PHP desde a **5.4 até a 8.5**, o que amplia o trabalho de quem precisa localizar instalações antigas antes de aplicar uma atualização.

A descoberta ganhou outra camada porque contou com **modelos de IA de fronteira**, incluindo o GPT-5.6 Sol, para examinar problemas no código. A **OpenAI** coordenou a resposta com a PHP Foundation e parceiros, num esforço que durou aproximadamente **dois meses**. O episódio foi descrito como um ponto de inflexão: a mesma classe de ferramenta que acelera a procura defensiva por bugs também pode reduzir o tempo necessário para transformar uma vulnerabilidade em ataque. No meio dessa história, cabe uma piada ruim: o PHP tentou usar uma memória depois que ela foi liberada, mas esqueceu de liberar a própria agenda. Eu sei, é uma piada ruim.

## Quando a correção chega ao mundo real

Essa combinação de alcance amplo e execução remota tirou o problema do laboratório. A gravidade das falhas levou **organizações em toda a Europa** a colocar sites offline como medida preventiva, enquanto responsáveis preparavam as correções. A informação disponível fala em organizações europeias, não especifica que todos os serviços eram governamentais nem informa quantos sites ficaram indisponíveis. A distinção importa: o desligamento aparece nas fontes como uma ação de proteção diante do risco, não como prova de que todos os sites que usavam PHP foram comprometidos.

Depois do susto, a orientação ficou objetiva. Em boletim de **21 de outubro de 2026**, a [CISA](https://content.govdelivery.com/accounts/USDHSCISA/bulletins/42ff5ac) recomendou atualizar imediatamente para as versões **8.5.12, 8.4.27, 8.3.36 ou 8.2.35**. A agência também pediu um inventário dos sistemas, porque o PHP pode estar embutido em outros softwares sem aparecer claramente para quem administra a rede, e priorizou serviços expostos à internet. Para sistemas sem capacidade de atualização imediata, a recomendação é desligá-los. O próximo passo, portanto, não é substituir tudo por impulso, mas descobrir onde o PHP existe, corrigir o que puder ser corrigido e isolar o restante.