# PHP2Shell: falhas críticas permitem invasão sem senha no PHP
> PHP2Shell: duas falhas críticas no PHP podem permitir execução remota de código sem autenticação. Entenda o risco, por que atualizar apenas WordPress ou plugins não resolve e quais versões do PHP receberam correções.
- **Canal Oficial:** Escola de Aplicativos (https://www.youtube.com/@escola.aplicativos)
- **Assistir no YouTube:** https://www.youtube.com/watch?v=h2p5AeAFWkc
- **Página no Portal:** https://www.escoladeaplicativos.com.br/youtube/php2shell-falhas-criticas-permitem-invasao-sem-senha-no-php
- **Publicado em:** 2026-10-21T23:45:45.000Z
---
## Visão geral do episódio

PHP2Shell: duas falhas críticas no PHP podem permitir execução remota de código sem autenticação. Entenda o risco, por que atualizar apenas WordPress ou plugins não resolve e quais versões do PHP receberam correções.

As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 foram corrigidas em 21/10/2026. O vídeo explica o vazamento antes da correção, o impacto no servidor e os cuidados para quem mantém sites e aplicações PHP.

🔗 Fontes oficiais e atualização:

✅ Versões corrigidas citadas no vídeo: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Aplique a atualização apropriada ao seu ambiente e reinicie os processos PHP para carregar a versão corrigida. Em hospedagem gerenciada, confirme com o provedor.

## Capítulos e linha do tempo (Timestamps)

| Minutagem | Tópico abordado |
| :--- | :--- |
| **00:00** | Falhas críticas e invasão sem senha |
| **00:13** | O que é PHP2Shell |
| **00:27** | Vazamento e correção antecipada |
| **00:39** | Como as falhas afetam a memória |
| **00:54** | WordPress, Drupal, Joomla e servidores PHP |
| **01:07** | A participação da IA na pesquisa |
| **01:19** | Relatos de ataques e proteção |
| **01:31** | Como atualizar o PHP |
| **01:47** | PHP antigo e hospedagens |
| **01:58** | Seu servidor já foi atualizado? |

## Contexto técnico, limites e boas práticas

📌 Atualização sobre versões antigas: PHP 8.1 e anteriores estão fora do suporte regular do projeto. O comunicado oficial também informa backports mínimos em código-fonte para 7.4, 8.0 e 8.1, além de possíveis pacotes corrigidos por distribuições e fornecedores LTS. Consulte o fornecedor; migrar para uma versão suportada continua sendo importante.

Atualizar o CMS ou instalar um WAF não substitui a correção do PHP. Confira a versão realmente carregada pelos processos que atendem as requisições web.

## Fontes e links citados no vídeo

- [Alerta de segurança do PHP](https://l.escoladeaplicativos.com.br/php2shell-alerta)
- [Downloads oficiais do PHP](https://l.escoladeaplicativos.com.br/php2shell-download)
- [Comunicado da PHP Foundation](https://l.escoladeaplicativos.com.br/php2shell-fundacao)

## Continue aprendendo na Escola de Aplicativos

- **[Curso Gratuito: Hermes Agent do Zero](/cursos/hermes-agent-do-zero):** 20 aulas cobrindo instalação, memória curada, criação automática de skills, subagentes e MCP.
- **[Artigo: Hermes Agent para Vibe Coding e AGENTS.md](/blog/hermes-agent-vibe-coding-agents-md):** Como estruturar contexto e autonomia com segurança em projetos reais.