CISA confirma que falhas PHP2Shell já são exploradas em ataques reais

As vulnerabilidades PHP2Shell deixaram de ser risco teórico e viraram ameaça concreta. A CISA incluiu as duas falhas, CVE-2026-109618 e CVE-2026-109619, no catálogo de vulnerabilidades exploradas ativamente após confirmar que atacantes conseguem execução remota de código em sistemas sem correção.

O PHP sustenta cerca de 70% da web, com mais de 5,1 milhões de hosts expostos, e agências federais dos EUA têm até quinta-feira para aplicar as correções sob a Diretiva Operacional Vinculante 26-04. O time de segurança do PHP liberou as atualizações em 21 de outubro, e pesquisadores já registravam tentativas de exploração quatro dias antes.

Para qualquer organização que roda PHP, este é um ciclo de correção de urgência máxima. Um único servidor desatualizado entrega o controle total a um invasor, e a gestão de vulnerabilidades baseada em risco deixou de ser opcional.