Os investigadores da JFrog publicaram novas análises sobre as falhas PHP2Shell, identificadas com as referências CVE-2026-109618 e CVE-2026-109619. Segundo eles, estas vulnerabilidades não requerem configuração especial nem plugins, e afetam diretamente o motor PHP, a linguagem de programação utilizada por muitos sites web.
Para estes trabalhos, os investigadores indicam ter reconstituído o funcionamento das vulnerabilidades antes da sua divulgação pública. Desenvolveram também provas de conceito (PoC), ou seja, programas que demonstram que uma falha pode ser explorada, que descrevem como funcionais.
Falhas que escapam às proteções da aplicação
De acordo com os scanners de segurança contextual da JFrog, as falhas afetam o processamento de pedidos POST multipart e os ficheiros de acompanhamento do progresso das sessões. Os dados maliciosos seriam desserializados, isto é, reconstruídos a partir da sua forma bruta, antes mesmo da execução de um script da aplicação. Nenhuma lógica da aplicação pode, portanto, bloquear o código malicioso.
Segundo a JFrog, o exploit desvia um mecanismo do PHP ligado ao progresso das sessões e recorre à serialização de objetos fictícios para tomar controlo do registo RIP, um componente que indica ao processador qual instrução executar. Pode assim permitir a execução remota de código sem autenticação (RCE), ou expor o conteúdo da memória, como no caso do Heartbleed.
Falsos exploits em circulação
Enquanto as equipas de segurança se mobilizam para implementar as correções, a JFrog detetou no GitHub falsas provas de conceito de exploração. Estes conteúdos são difundidos por atores maliciosos que aproveitam a confusão, e circulam também software malicioso com intenção de brincadeira.
A JFrog indica que os seus produtos Xray e Catalog integram agora as informações sobre as vulnerabilidades CVE-2026-109618 e CVE-2026-109619. O objetivo é ajudar as empresas a analisar os seus ambientes e a identificar os sistemas expostos. A análise técnica completa, que detalha os mecanismos de exploração, está disponível no blog JFrog Research.
Niv Lanyado, líder da equipa de investigação de segurança da JFrog, sublinha a necessidade de uma monitorização alargada:
«Com o PHP2Shell, as empresas devem compreender que a falha é desencadeada no núcleo do motor PHP, antes mesmo da execução do código da aplicação. As proteções tradicionais ao nível da aplicação não a podem, portanto, bloquear, e nenhuma medida de contorno no seu código pode remediá-la. Uma visibilidade automatizada sobre a totalidade dos ambientes é essencial, nomeadamente para identificar instalações PHP antigas ou em fim de vida que não receberão mais atualizações binárias do editor. O objetivo é garantir que cada sistema exposto é imediatamente corrigido ou isolado.»
