A Cloudflare implementou, em caráter de emergência, proteções de firewall (WAF) contra duas falhas críticas no PHP, rastreadas como CVE-2026-109618 e CVE-2026-109619. Batizadas de “php2shell”, as vulnerabilidades afetam qualquer servidor que rode PHP 5.4 ou superior e podem permitir execução remota de código, exposição de dados e negação de serviço (DoS). A empresa agiu horas antes da divulgação pública, após detectar que o exploit já estava vazando e sendo usado em ataques ativos.

O PHP é a espinha dorsal de quase 70% da web, incluindo plataformas como WordPress e Magento. As falhas, divulgadas em coordenação com Calif.io, Wiz, OpenAI e Quarkslab, residem no núcleo da linguagem, não em plugins ou temas. Isso significa que atualizar apenas o CMS não resolve o problema; é imperativo atualizar a versão do PHP no servidor.

Como funcionam as vulnerabilidades
As falhas “php2shell” ocorrem quando o PHP lida com erros de memória durante o processamento de uma requisição HTTP. Quando um processo é interrompido inesperadamente (por exemplo, por falta de memória), o PHP pode falhar na limpeza segura da memória ou tentar usar dados que não foram completamente inicializados. Um atacante pode enviar requisições HTTP especialmente criadas para explorar essas condições, levando à execução de código malicioso ou ao vazamento de informações sensíveis.

• CVE-2026-109618: O PHP fica sem memória e interrompe o trabalho antes que alguns dados internos sejam inicializados corretamente. Durante a limpeza, o sistema pode usar esses dados incompletos como se fossem válidos.
• CVE-2026-109619: Um erro fatal interrompe a requisição, deixando o PHP com referências a memória que é liberada ao final do processo. Quando o mesmo processo lida com uma requisição posterior, pode acessar memória inválida, expondo dados.

Proteção em tempo recorde e Google Discover
A Cloudflare agiu rapidamente. As proteções de WAF foram desenvolvidas e implantadas cerca de 9 horas antes da divulgação pública. Desde as 3h02 (UTC) de 21 de outubro, todos os clientes da Cloudflare, incluindo usuários do plano gratuito, estão protegidos por padrão.

Para combater a ameaça, a empresa desenvolveu uma nova capacidade chamada “full transaction detection” . Diferente de regras tradicionais que analisam apenas a requisição, essa tecnologia analisa tanto a requisição quanto a resposta do servidor de origem na mesma transação HTTP. Isso permite bloquear a resposta maliciosa antes que ela chegue ao solicitante, reduzindo falsos positivos e aumentando a precisão.

O que os administradores devem fazer
Apesar da proteção da Cloudflare, a empresa reforça que a atualização do PHP é essencial para uma defesa em profundidade. Administradores devem:

1. Atualizar o PHP: Aplicar o patch de segurança o mais rápido possível, seguindo o advisory oficial do PHP.
2. Manter o WAF ativo: As regras da Cloudflare continuam sendo uma camada extra de proteção.
3. Revisar eventos: Analisar os bloqueios no painel da Cloudflare (Security > Security Analytics > Events) para monitorar tentativas de ataque.
4. Restringir uploads: Limitar o tamanho e o tipo de uploads pode reduzir a superfície de exposição, mas não substitui a correção.

A Cloudflare afirmou que seus analistas continuarão monitorando o tráfego e atualizando as regras conforme novas técnicas de ataque surgirem. A proteção já está ativa para todos os planos com WAF habilitado.