# Vulnerabilidades PHP2Shell no PHP: a Cademí já está segura

Comunicado

- Publicado em 24 de outubro de 2026 às 18:09

Em 21 de outubro de 2026, foram divulgadas duas vulnerabilidades críticas no PHP, a linguagem usada por boa parte dos sites e sistemas da internet. O caso ficou conhecido como **PHP2Shell** (CVE-2026-109618 e CVE-2026-109619) e teve ampla repercussão na imprensa.

#### A Cademí já está segura

* **Nossa equipe já aplicou as correções de segurança em todos os sistemas da Cademí.**
* A plataforma está atualizada e protegida contra as duas falhas.
* Você e seus alunos não precisam fazer nada.

#### O que é o PHP2Shell

São duas falhas no próprio PHP, e não em um site ou sistema específico. Em servidores que ainda não foram atualizados, elas podem permitir que um atacante execute comandos remotamente, sem precisar de login.

* As duas falhas receberam a classificação **crítica**.
* As correções oficiais foram publicadas pelo PHP no mesmo dia da divulgação, 21 de outubro.
* Já há registros de tentativas de ataque pela internet contra servidores que ainda não foram atualizados.

#### O que isso significa para sua operação

* **Na Cademí, está tudo protegido.** Sua área de membros, o painel do produtor, o checkout e o acesso dos seus alunos seguem funcionando normalmente.
* **Seus alunos não precisam trocar a senha** nem tomar nenhuma ação por causa desse caso.
* **Se você tem outros sites fora da Cademí** (um blog, uma página de vendas ou uma loja em WordPress, por exemplo), confirme com a sua hospedagem se o PHP desses sites já foi atualizado.

#### Transparência e suporte

Seguimos acompanhando o caso e publicaremos aqui se algo mudar. Se tiver dúvidas, nosso time de suporte está à disposição.

Mais informações sobre o caso:

* **Help Net Security - PHP2Shell: Critical PHP vulnerabilities patched, update now!**  
  [https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/](https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/)
* **Datadog Security Labs - PHP2Shell: detection, analysis, and remediation**  
  [https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php/](https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php/)
* **watchTowr - PHP2Shell FAQ**  
  [https://watchtowr.com/intelligence/php-cve-2026-109618-faq/](https://watchtowr.com/intelligence/php-cve-2026-109618-faq/)

#### Informações técnicas adicionais (nível avançado)

* **CVE-2026-109618:** execução remota de código causada por uma falha no tratamento de falta de memória do PHP.
* **CVE-2026-109619:** execução remota de código causada pelo reaproveitamento de memória já liberada entre requisições. Pode ser explorada em qualquer endereço que aceite envio de dados, antes de o código do site rodar, por isso o login do site não impede o ataque.
* **Gravidade:** CVSS v4.0 de 9,2 nas duas falhas.
* **Versões corrigidas:** PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. As versões 7.4, 8.0 e 8.1 dependem de pacotes da distribuição ou de fornecedores de suporte estendido. As versões 7.3 e anteriores não têm correção, e o único caminho é migrar para uma versão suportada.

Página: https://status.cademi.cloud/notices/0ce55a0e-0184-482d-a8bb-d5b18e01bd26