Como Proteger Seu Servidor contra o PHP2Shell (CVE-2026-109618)
Instruções passo a passo para administradores de sistemas, desenvolvedores e proprietários de sites WordPress, Laravel e servidores dedicados/VPS.
Atualize para a Versão Corrigida do PHP
A única correção definitiva é atualizar o pacote do PHP para os releases oficiais lançados em 21/10/2026:
# Ubuntu / Debian:
sudo apt update && sudo apt --only-upgrade install php8.2 php8.3 php8.4
# RHEL / AlmaLinux / Rocky:
sudo dnf upgrade php\*
# cPanel / WHM (EasyApache 4):
yum update ea-php*
- Branch 8.5: versão 8.5.12+
- Branch 8.4: versão 8.4.27+
- Branch 8.3: versão 8.3.36+
- Branch 8.2: versão 8.2.35+
Mitigações Imediatas no php.ini
Caso não consiga atualizar o binário do PHP de imediato, aplique estas configurações no php.ini para desativar os vetores de corrupção de memória durante upload:
; Desativa rastreamento de progresso de upload
session.upload_progress.enabled = Off
; Oculta versão do PHP nos cabeçalhos
expose_php = Off
; Reduz limite de POST quando possível
post_max_size = 10M
Após editar, reinicie o PHP-FPM ou Apache (sudo systemctl restart php*-fpm).
Ativação de Regras de WAF (Cloudflare / ModSecurity)
Plataformas como Cloudflare e provedores de nuvem já ativaram assinaturas de proteção automática contra os pacotes maliciosos da CVE-2026-109618.
Se você utiliza Nginx ou Apache com ModSecurity, mantenha o conjunto OWASP CRS atualizado para inspecionar requisições com multipart/form-data anômalas ou buffers excessivos.
Apenas Atualizar o WordPress Resolve?
Não! A falha PHP2Shell reside no executável em C do próprio PHP, e não no código PHP de plugins ou do WordPress.
O ataque atua durante a fase de recepção da requisição HTTP, antes que o WordPress execute seu primeiro script. Portanto, a atualização do pacote no sistema operacional é indispensável.