Proteção contra vulnerabilidade PHP2Shell21/10/2026

Em 21 de outubro de 2026, foram divulgadas duas vulnerabilidades críticas no PHP, identificadas como CVE-2026-109618 e CVE-2026-109619, também conhecidas como PHP2Shell. Essas falhas podem permitir a execução remota de códigos maliciosos, representando um risco importante para sites e aplicações.

Os desenvolvedores do PHP disponibilizaram atualizações emergenciais de segurança para corrigir as vulnerabilidades. Na MCO2, todas as versões afetadas que receberam correções oficiais já foram atualizadas.

Outro fator importante é que nossas hospedagens utilizam PHP-FPM, em vez do módulo mod_php do Apache. Segundo os alertas oficiais, o mod_php apresenta maior exposição a essas vulnerabilidades, com um método de exploração já demonstrado. O PHP-FPM possui um comportamento diferente no tratamento de falhas durante a inicialização das requisições, reduzindo a exposição a esse vetor específico, embora não elimine completamente os riscos.

Além das atualizações, nossa infraestrutura conta com uma extensão de segurança para o PHP que bloqueia os vetores conhecidos de exploração dessas falhas. Essa proteção é aplicada a todas as versões do PHP disponíveis em nossas hospedagens, da 5.4 até a 8.5.

Isso é especialmente importante para os clientes que ainda utilizam versões antigas do PHP, que já não recebem atualizações oficiais de segurança. Embora essas versões não possam receber as correções dos desenvolvedores do PHP, nossa extensão permite bloquear os mecanismos conhecidos utilizados para explorar essas vulnerabilidades.

A proteção funciona diretamente no ambiente de hospedagem, independentemente da aplicação utilizada. Dessa forma, sites desenvolvidos em PHP, incluindo WordPress e outros sistemas, contam com essa camada adicional de segurança sem necessidade de alterações em seus códigos.

Os clientes não precisam realizar nenhuma configuração ou procedimento adicional. As atualizações e os mecanismos de proteção já estão aplicados em nossa infraestrutura.

Continuamos acompanhando as informações técnicas sobre essas vulnerabilidades e seus possíveis métodos de exploração, para manter as proteções atualizadas e preservar a segurança dos sites hospedados.