PHP2Shell é uma família de vulnerabilidades críticas recentemente corrigidas no núcleo do PHP, com gravidade que chega a CVSS 9,2. Elas podem permitir que atacantes não autenticados executem código ou exponham a memória sensível de processos. O PHP alimenta aproximadamente 70% dos sites, incluindo plataformas como WordPress, Drupal e o MediaWiki da Wikipédia.
Pesquisadores da Wiz Research, incluindo Sagi Tzadik, Shir Tamari, Nir Ohfeld e Tomer Schwartz, trabalharam com a Open AI Codex Security (Amy Burnett) e outros na divulgação responsável. As vulnerabilidades estão no próprio PHP, então sites podem ser afetados mesmo quando o código de sua aplicação é seguro. Uma aplicação simples "Hello World" executando em uma versão afetada do PHP já é suficiente para ficar exposta. Sites que executam as versões mais recentes e corrigidas do PHP estão protegidos. A equipe do PHP respondeu rapidamente e trabalhou de perto com os pesquisadores em correções abrangentes.
As falhas se dividem em duas classes, rastreadas como CVE-2026-109618 e CVE-2026-109619. A primeira envolve corrupção de memória por esgotamento, que pode permitir execução de código sem autenticação como o worker web do PHP. A segunda envolve estado global obsoleto entre requisições, que pode habilitar um uso após liberação que revela a memória do worker ou executa código. Os pesquisadores demonstraram execução remota de código pré-autenticação contra WordPress, Drupal e Joomla usando suas imagens de contêiner mais recentes na época dos testes, e mostraram divulgação de memória independente da aplicação.
Atacantes poderiam assumir o controle de servidores, acessar dados sensíveis ou ler senhas, tokens de autenticação, chaves de API e certificados de outras requisições. A divulgação de memória também pode roubar dados sem que se tenha antes alcançado a execução de código, tornando a atividade mais difícil de detectar. A única correção completa é instalar uma versão corrigida do PHP em cada ambiente de execução e reiniciar o Apache, o PHP-FPM e quaisquer workers PHP de longa duração. Atualizar uma aplicação não atualiza o runtime PHP que está por baixo dela.
Fonte: Hacker News · Resumido por HeadlinesBriefing