O PHP publicou em 23 de outubro de 2026 um novo alerta de segurança, desta vez sem correção pronta, e as tentativas de ataque contra as falhas PHP2Shell, divulgadas dois dias antes, já passam dos milhões. Se o seu site, a sua loja virtual ou o seu sistema roda em PHP, como quase todo WordPress e WooCommerce, vale conferir hoje duas coisas: a versão do PHP e uma configuração chamada upload progress.
A boa notícia, até agora: nenhuma das empresas que monitoram esses ataques confirmou uma invasão bem-sucedida. A má: já existe exploit que funciona em configuração comum de servidor, nas mãos de uma empresa de segurança, e os atacantes estão testando tudo o que encontram pela frente.
O alerta novo de 23 de outubro
O aviso tem o código CVE-2026-115560 e trata do recurso de progresso de envio de arquivos da sessão (session upload progress). Segundo o PHP, o risco só aparece numa combinação incomum: a aplicação precisa usar os formatos de sessão php_binary ou php_serialize, trocar para o formato php em tempo de execução, com ini_set(), antes de iniciar a sessão, e manter o upload progress ligado.
O próprio PHP diz que essa configuração é "unlikely in practice", ou seja, improvável no dia a dia, e que vai corrigir a falha no ciclo normal, com o aviso completo na próxima versão. Até lá, a recomendação é definir `session.upload_progress.enabled=0`. O PHP ainda não divulgou as versões afetadas nem a nota de gravidade dessa falha.
Quem já desligou essa opção em 21 de outubro, como medida contra a CVE-2026-109619 (uma das falhas do PHP2Shell), não precisa fazer mais nada para o alerta novo.
Onde estão os ataques ao PHP2Shell
As falhas CVE-2026-109618 e CVE-2026-109619, que já tratamos aqui no blog, foram corrigidas em 21 de outubro nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Desde então, segundo números da Cloudflare publicados pelo site especializado THN:
- dezenas de milhares de tentativas apareceram 45 minutos depois da divulgação;
- centenas de milhares em duas horas;
- milhões até a manhã de 22 de outubro.
O fato novo que pesa mais vem da VulnCheck. A empresa diz ter um exploit funcional para a CVE-2026-109618 que roda com display_errors desligado, justamente a configuração recomendada para produção, no Apache com mod_php. Ele atinge o PHP 8.4.10 a 8.4.26 e 8.5.10 a 8.5.11, inclusive WordPress em instalações padrão com Docker. O exploit não é público. A VulnCheck também registrou, em 21/10, uma tentativa de exploração vinda de um endereço da China, que falhou.
Quantos servidores estão expostos
A Censys contava, em 23 de outubro, 34,4 milhões de serviços PHP avaliados como vulneráveis. A Qualys estima que cerca de 71% das instalações que observou rodam versões sem suporte, da 5.4 à 8.1. Essas versões não recebem atualização oficial: o PHP publicou só ajustes mínimos no código-fonte para 7.4, 8.0 e 8.1.
Até a versão do catálogo de 23 de outubro, as falhas do PHP2Shell não estavam na lista de vulnerabilidades exploradas da CISA, a agência de segurança dos Estados Unidos. Nenhuma fonte desta semana trouxe número de sites atacados no Brasil.
O que fazer agora
- Descubra a versão do PHP. Ela aparece no painel da hospedagem (cPanel, Plesk) ou no WordPress, em Ferramentas, Saúde do site, Informação.
- Atualize para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Em hospedagem compartilhada, troque a versão no painel ou abra chamado. Em servidor próprio, atualize o pacote e reinicie o PHP-FPM ou o Apache.
- Desligue o upload progress. Coloque `session.upload_progress.enabled=0` no php.ini ou na configuração do pool do FPM. Segundo o PHP, ini_set() e o arquivo .user.ini não servem para isso.
- Saia do PHP 8.1 ou anterior. Sem atualização oficial, essas versões ficam expostas a esta e às próximas falhas. O 8.2 sai do suporte em 31/12/2026.
- Teste o site depois. Plugin antigo pode quebrar na troca de versão; faça cópia de segurança antes e confira checkout, formulários e área administrativa.
- Revise os registros desde 17 de outubro. A AWS recomendou olhar os logs a partir dessa data, já que a exploração começou antes da correção.
Por que isso pesa para a pequena empresa
Ataque em massa não escolhe vítima pelo tamanho. O robô varre a internet atrás de qualquer servidor com a versão errada, e a loja de bairro com WordPress desatualizado entra na mesma lista que o portal grande. A diferença é que a empresa pequena raramente tem alguém olhando o servidor num sábado.
Também é comum ninguém saber quem cuida da hospedagem: o site foi feito por um freelancer, o contrato está no nome de outra pessoa e a senha do painel se perdeu. Se esse é o seu caso, a hora de resolver é antes do incidente.
Onde a Oneck entra
A frente de Software & Sistemas da Oneck Creative desenvolve e mantém sites e sistemas com rotina de atualização, cópia de segurança e monitoramento. Se você não sabe em que versão do PHP o seu site roda, ou quem deveria atualizar, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: PHP: notícias de 2026; THN: tentativas de exploração do PHP2Shell chegam aos milhões; SecurityWeek: botnet Mirai entra nos ataques ao PHP2Shell; VulnCheck: vulnerabilidades PHP2Shell; Canaltech: falhas críticas no PHP já eram exploradas antes da correção; CISA: catálogo de vulnerabilidades exploradas.
