Resposta no mesmo dia à falha crítica PHP2Shell: defesa em camadas e zero tempo fora do ar

Em 21 de outubro de 2026, o projeto PHP divulgou duas falhas críticas no próprio motor da linguagem, apelidadas de PHP2Shell (CVE-2026-109618 e CVE-2026-109619, nota de gravidade 9,2 de 10). Elas permitem que um invasor execute código no servidor sem login, com uma única requisição, antes de qualquer código do site rodar. Com prova de exploração circulando no dia do anúncio, agências de cibersegurança como o NCSC do Reino Unido recomendaram tirar do ar o que não pudesse ser protegido de imediato.

No Conn2Flow, o diagnóstico, a proteção de rede e a atualização das versões em desenvolvimento, testes e produção foram concluídos no mesmo dia, sem que nenhum site saísse do ar.

1. Diagnóstico e blindagem de rede imediata

Nos primeiros minutos após a divulgação, mapeamos a versão do PHP em cada ambiente. Como os canais públicos de distribuição de pacotes estavam sobrecarregados e atrasados nas primeiras horas, aplicamos uma proteção imediata em nível de rede:

• Os sites passaram a aceitar tráfego exclusivamente pela camada de proteção de borda (WAF), que já filtrava os vetores de ataque conhecidos dessa falha.
• O acesso administrativo de infraestrutura foi restrito.
• Os sites seguiram 100% online durante todo o processo.

2. Ambiente de desenvolvimento e 7.559 arquivos verificados

Assim que as imagens oficiais corrigidas foram publicadas, atualizamos o ambiente de desenvolvimento com as versões seguras fixadas para evitar regressão acidental. Antes de avançar para os servidores seguintes, verificamos a compatibilidade de 7.559 arquivos do sistema: zero erros.

3. Homologação no ambiente de testes e atualização em produção

A partir da fonte oficial do mantenedor dos pacotes, atualizamos as quatro linhas do PHP em operação no ambiente de testes (8.2.35, 8.3.36, 8.4.27 e 8.5.12) e validamos os 10 sites de teste um a um, todos no ar e sem erros.

Com a homologação concluída em testes, aplicamos a mesma atualização definitiva nos motores PHP que atendem os sites em produção, validando cada domínio em seguida. Recomendamos a todas as equipes que operam PHP que confiram se seus servidores já estão nas versões 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 (ou superiores).