O PHP2Shell consiste num conjunto de duas vulnerabilidades críticas de execução remota de código (RCE) no PHP, designadas CVE-2026-109618 e CVE-2026-109619. Ambas têm uma pontuação de 9,2 no CVSS v4.0, e qualquer uma delas pode permitir que um atacante não autenticado execute código num servidor que processe pedidos PHP. O site Cloudflare informa que já se registaram casos de exploração destas vulnerabilidades.
O PHP lançou correções a 21 de outubro nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O PHP 8.1 e versões anteriores já não têm suporte e não receberão uma versão oficial. O site Aikido publica imagens container do PHP corrigidas e gratuitas para todas as linhas de lançamento da versão 5.5 à 8.5, exceto a 8.0, com as correções do PHP2Shell retroportadas para a versão que já utiliza.
Se ainda não aplicou a correção para o PHP2Shell, faça-o agora. No PHP 8.2 ou versões mais recentes, atualize para a versão 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 e siga os passos descritos na nossa publicação sobre o PHP2Shell. Aikido As imagens abrangem a maioria das versões mais antigas que o PHP já não atualiza, pelo que pode aplicar a correção nessas versões sem ter de atualizar primeiro para um ramo suportado.
Por que utilizar imagens do tipo « Aikido » para o PHP2Shell
A migração de uma aplicação entre versões principais do PHP leva tempo, e uma aplicação legada no PHP 5.6 ou 7.4 não pode passar para a versão 8.2 da noite para o dia. As imagens « Aikido » mantêm-no na sua linha de lançamento atual. Quando o código-fonte original não dispõe de uma correção, fazemos o backport dos patches do PHP2Shell para a versão que está a utilizar, de modo que a tag mantém o seu número de versão e não precisa de portar a sua aplicação primeiro.
No caso dos ramos suportados, as imagens correspondem às versões corrigidas do upstream, pelo que a atualização resume-se a alterar a imagem base no seu Dockerfile.
Imagens disponíveis
Aikido As imagens estão disponíveis gratuitamente no Registo Público do Amazon Elastic Container (ECR) da Aikido , em public.ecr.aws/aikido-dev/php. Encontre a sua versão abaixo e descarregue o patch mais recente para a variante que utiliza.
Aikido também publica compilações corrigidas de algumas versões anteriores, incluindo a 8.2.34, a 8.3.35, a 8.4.26 e a 8.5.11, para que possa manter a versão exata que utiliza. Consulte a lista completa de etiquetas na galeria pública do ECR.
Como extrair uma imagem
As etiquetas combinam a versão e a variante. Para o PHP 8.5 com FPM:
docker pull public.ecr.aws/aikido-dev/php:8.5.12-fpm
A variante base utiliza a etiqueta da versão simples, como php:8.2.35. Num ficheiro Dockerfile, altere a linha FROM:
DE public.ecr.aws/aikido-dev/php:7.4.33-apache
Para obter a versão mais recente e atualizada do Alpine sem fixar uma versão específica, utilize o php:alpine ou o php:fpm-alpine.
Depois de alternar entre as imagens
A aplicação de uma correção a um servidor « container » em funcionamento deixa a imagem vulnerável; por isso, recompile todas as imagens que utilizem PHP e volte a implementá-las. Em seguida:
- Reinicie os workers do PHP-FPM e do Apache, ou volte a implementar os contentores, e confirme que nenhum worker continua a executar a versão antiga.
- Mantenha a opção `session.upload_progress.enabled=0` no ficheiro `php.ini` ou na configuração do seu conjunto de instâncias do PHP-FPM. Trata-se de uma funcionalidade obsoleta raramente utilizada e uma via confirmada para a vulnerabilidade CVE-2026-109619.
- Teste o seu URL público com o verificador gratuito de PHP2Shell do site Aikido, que indica o estado do PHP2Shell do site.
- Procure sinais de violação de segurança. O nosso artigo sobre o PHP2Shell indica o que deve verificar.
Se a sua versão ainda não constar da lista
O PHP 8.0 ainda não dispõe de uma imagem « Aikido », e algumas versões têm apenas algumas variantes, como a 8.1. Estamos a preparar mais imagens. Até que a sua esteja disponível, atualize para uma versão fixa do PHP ou solicite ao seu fornecedor uma correção retroativa. A equipa de segurança do PHP também publicou retroações mínimas do código-fonte para as versões do PHP 7.4 a 8.1, destinadas às equipas que compilam a partir do código-fonte.
Para obter mais informações sobre as CVEs e as medidas de mitigação temporárias, caso ainda não seja possível efetuar a atualização, consulte a nossa publicação sobre o PHP2Shell.
Para ver um passo a passo sobre como verificar a sua exposição e corrigir a vulnerabilidade PHP2Shell, incluindo com imagens do site Aikido , veja o vídeo abaixo.
