Na semana passada, detalhes de duas vulnerabilidades críticas no PHP vieram a público. Batizadas de PHP2Shell, as falhas CVE-2026-109618 e CVE-2026-109619 receberam nota 9,2 no CVSS e permitem execução remota de código sem autenticação. Um invasor pode assumir o controle de um servidor vulnerável sem precisar de credenciais.
Órgãos governamentais emitiram alertas e administradores correram para aplicar correções; alguns serviços ficaram fora do ar preventivamente. Cerca de três em cada quatro sites rodam PHP, seja direto ou via plataformas que dependem dele. Essa adoção em massa transforma qualquer falha grave em problema global.
Tony Anscombe, Chief Security Evangelist da ESET, explica no vídeo “PHP2Shell: What to know about two critical PHP flaws” que a ampla presença do PHP o torna alvo especialmente atrativo para cibercriminosos.
