Seu site PHP está exposto
à PHP2Shell?
Duas falhas críticas no PHP permitem executar código no servidor sem login. A correção saiu em 21/10/2026 e já há ataques. Descubra em segundos se o seu site aparenta estar vulnerável.
Fazemos uma única visita à página, como um navegador. Nada é explorado nem testado no seu servidor.
O que é a PHP2Shell
Por que a PHP2Shell é tão grave.
Execução de código sem login
As duas falhas (CVSS 9.2) permitem que um atacante rode código no servidor sem usuário nem senha.
Todas as versões em uso
Os quatro ramos suportados foram afetados, e o PHP 8.1 ou anterior não vai receber correção.
Ataques já em curso
Detalhes vazaram em 20/10, antes da correção, e já há tráfego de ataque observado contra as falhas.
Versões corrigidas
Atualize para estas versões ou mais novas.
Segundo o anúncio oficial do PHP, não existe mitigação completa: atualizar é a única saída segura. Quem usa PHP 8.1 ou anterior não vai receber correção e precisa migrar de ramo.
Confirme no servidor
O verificador vê o que o site mostra. O servidor diz a verdade.
1. Veja a versão
A do terminal e a do PHP-FPM podem ser diferentes. Troque php-fpm8.2 pelo nome do seu serviço.
php -v
php-fpm8.2 -v2. Pacote da distribuição
Se o changelog cita o CVE, a correção está aplicada.
# Debian / Ubuntu
zgrep CVE-2026-109618 \
/usr/share/doc/php*-common/changelog.Debian.gz
# RHEL / Alma / Rocky
rpm -q --changelog php-common \
| grep CVE-2026-1096183. Reinicie depois de atualizar
Processos antigos seguem com o código vulnerável até reiniciar.
systemctl restart php8.2-fpm
# ou, com mod_php:
systemctl restart apache2Não dá para atualizar hoje?
O anúncio do PHP lista medidas parciais, que reduzem o risco mas não fecham a falha. Aplique antes do processamento da requisição (php_admin_value no pool do FPM ou no Apache), reinicie todos os workers e não use limites RLIMIT_AS ou RLIMIT_DATA.
memory_limit = -1
post_max_size = 8M ; 32M se precisar de upload
session.upload_progress.enabled = 0
fatal_error_backtraces = 0 ; só no PHP 8.5Como a NE ajuda
Da lista de servidores à correção aplicada.
O problema raramente é um servidor só. Painéis, APIs, lojas e ambientes esquecidos também rodam PHP, e qualquer um deles serve de porta de entrada.
- Levantamento de todos os servidores e sites com PHP, inclusive os esquecidos
- Atualização com janela combinada e plano de volta testado
- Migração de quem está no PHP 8.1 ou anterior, que não terá correção
- Monitoramento contínuo com o SOC 24/7 da NE depois da correção
Perguntas frequentes
Dúvidas sobre a verificação
Quer ver como isso funciona no seu cenário real?
Venha entender como a NE pode ajudar sua operação, unindo:
Sem compromisso. Sem vendor lock-in.
Uma conversa técnica, de igual para igual.