Baixo Risco: Sem Indícios de PHP Exposto
O servidor não expôs cabeçalhos típicos de PHP nem cookies padrões. A aplicação pode estar utilizando outra stack (Node.js, Go, Python, ASP.NET) ou operando atrás de um proxy totalmente blindado.
Não detectado
Nenhum cabeçalho vazando versão
Não (Protegido)
Cabeçalho seguro ou removido
Não detectado
Conexão direta com o servidor web
9.2 - 9.8 (Crítico)
RCE não autenticado no motor C
Diagnóstico de Cabeçalhos e Assinaturas de Segurança
Auditoria da Versão do Motor PHP (CVE-2026-109618 & CVE-2026-109619)
A versão exata não foi exposta nos cabeçalhos públicos HTTP. Recomenda-se auditar no servidor se a versão é moderna.
Vazamento de Informação via X-Powered-By
O cabeçalho X-Powered-By não revela dados do PHP. Excelente prática de segurança.
Firewall de Aplicação Web (WAF) / Blindagem de Borda
Nenhum WAF comercial conhecido foi detectado diretamente nos cabeçalhos. Se a atualização do PHP não puder ser feita de imediato, recomendamos colocar a aplicação atrás de um WAF (ex: Cloudflare ou ModSecurity) para mitigar tentativas de exploração.
Assinatura de Servidor Web (Server Header)
Cabeçalho retornado: BunnyCDN-BR1-1339.
Deseja uma auditoria completa de SEO, velocidade e cabeçalhos HTTPS?
Confira pontuação de 0 a 100, HSTS, TTFB e meta tags deste mesmo site.
Como Proteger Seu Servidor contra o PHP2Shell (CVE-2026-109618)
Instruções passo a passo para administradores de sistemas, desenvolvedores e proprietários de sites WordPress, Laravel e servidores dedicados/VPS.
Atualize para a Versão Corrigida do PHP
A única correção definitiva é atualizar o pacote do PHP para os releases oficiais lançados em 21/10/2026:
# Ubuntu / Debian:
sudo apt update && sudo apt --only-upgrade install php8.2 php8.3 php8.4
# RHEL / AlmaLinux / Rocky:
sudo dnf upgrade php\*
# cPanel / WHM (EasyApache 4):
yum update ea-php*
- Branch 8.5: versão 8.5.12+
- Branch 8.4: versão 8.4.27+
- Branch 8.3: versão 8.3.36+
- Branch 8.2: versão 8.2.35+
Mitigações Imediatas no php.ini
Caso não consiga atualizar o binário do PHP de imediato, aplique estas configurações no php.ini para desativar os vetores de corrupção de memória durante upload:
; Desativa rastreamento de progresso de upload
session.upload_progress.enabled = Off
; Oculta versão do PHP nos cabeçalhos
expose_php = Off
; Reduz limite de POST quando possível
post_max_size = 10M
Após editar, reinicie o PHP-FPM ou Apache (sudo systemctl restart php*-fpm).
Ativação de Regras de WAF (Cloudflare / ModSecurity)
Plataformas como Cloudflare e provedores de nuvem já ativaram assinaturas de proteção automática contra os pacotes maliciosos da CVE-2026-109618.
Se você utiliza Nginx ou Apache com ModSecurity, mantenha o conjunto OWASP CRS atualizado para inspecionar requisições com multipart/form-data anômalas ou buffers excessivos.
Apenas Atualizar o WordPress Resolve?
Não! A falha PHP2Shell reside no executável em C do próprio PHP, e não no código PHP de plugins ou do WordPress.
O ataque atua durante a fase de recepção da requisição HTTP, antes que o WordPress execute seu primeiro script. Portanto, a atualização do pacote no sistema operacional é indispensável.