Vulnerabilidades PHP2Shell no PHP: a Cademí já está segura

Em 21 de outubro de 2026, foram divulgadas duas vulnerabilidades críticas no PHP, a linguagem usada por boa parte dos sites e sistemas da internet. O caso ficou conhecido como PHP2Shell (CVE-2026-109618 e CVE-2026-109619) e teve ampla repercussão na imprensa.

A Cademí já está segura

Nossa equipe já aplicou as correções de segurança em todos os sistemas da Cademí. A plataforma está atualizada e protegida contra as duas falhas. Você e seus alunos não precisam fazer nada.

O que é o PHP2Shell

São duas falhas no próprio PHP, e não em um site ou sistema específico. Em servidores que ainda não foram atualizados, elas podem permitir que um atacante execute comandos remotamente, sem precisar de login.

As duas falhas receberam a classificação crítica. As correções oficiais foram publicadas pelo PHP no mesmo dia da divulgação, 21 de outubro. Já há registros de tentativas de ataque pela internet contra servidores que ainda não foram atualizados.

O que isso significa para sua operação

Na Cademí, está tudo protegido. Sua área de membros, o painel do produtor, o checkout e o acesso dos seus alunos seguem funcionando normalmente. Seus alunos não precisam trocar a senha nem tomar nenhuma ação por causa desse caso. Se você tem outros sites fora da Cademí (um blog, uma página de vendas ou uma loja em WordPress, por exemplo), confirme com a sua hospedagem se o PHP desses sites já foi atualizado.

Transparência e suporte

Seguimos acompanhando o caso e publicaremos aqui se algo mudar. Se tiver dúvidas, nosso time de suporte está à disposição.

Mais informações sobre o caso:

Help Net Security - PHP2Shell: Critical PHP vulnerabilities patched, update now! https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/ Datadog Security Labs - PHP2Shell: detection, analysis, and remediation https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php/ watchTowr - PHP2Shell FAQ https://watchtowr.com/intelligence/php-cve-2026-109618-faq/

Informações técnicas adicionais (nível avançado)

CVE-2026-109618: execução remota de código causada por uma falha no tratamento de falta de memória do PHP. CVE-2026-109619: execução remota de código causada pelo reaproveitamento de memória já liberada entre requisições. Pode ser explorada em qualquer endereço que aceite envio de dados, antes de o código do site rodar, por isso o login do site não impede o ataque. Gravidade: CVSS v4.0 de 9,2 nas duas falhas. Versões corrigidas: PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. As versões 7.4, 8.0 e 8.1 dependem de pacotes da distribuição ou de fornecedores de suporte estendido. As versões 7.3 e anteriores não têm correção, e o único caminho é migrar para uma versão suportada.