Em 21 de outubro de 2026, a equipe responsável pelo PHP publicou atualizações emergenciais para corrigir duas vulnerabilidades críticas, registradas como CVE-2026-109618 e CVE-2026-109619 e apelidadas de "php2shell". As falhas receberam nota 9.2 (CVSS v4.0) e permitem que um atacante execute código remotamente em servidores que utilizam PHP, sem precisar de nenhum login. O tema ganhou bastante repercussão ao longo da semana, com alertas de órgãos como a CISA (Estados Unidos) e o CERT-EU (União Europeia).
O que foi divulgado
Segundo os comunicados oficiais, as vulnerabilidades atingem instalações de PHP que atendem requisições web, e as versões corrigidas são a 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A recomendação das autoridades de segurança é aplicar a atualização imediatamente — e, para quem ainda usa o PHP 8.1 ou versões anteriores, que já não recebem correções, retirar os sistemas do ar até que sejam atualizados. Empresas de segurança também relataram tentativas de exploração das falhas logo após a divulgação.
Nosso ambiente já está protegido
Queremos tranquilizar nossos clientes: a plataforma do Baú de Notas já está rodando com as últimas atualizações de tecnologia, incluindo a versão corrigida do PHP. Mantemos o sistema sobre uma versão do PHP com suporte ativo, o que nos permite aplicar as correções de segurança assim que são publicadas, e seguimos o mesmo cuidado com o framework e as bibliotecas que compõem a aplicação.
Essa atualização faz parte de uma rotina preventiva: acompanhamos de perto os boletins de segurança das tecnologias que utilizamos para nos anteciparmos a problemas como esse, antes que eles possam representar qualquer risco aos dados da sua empresa — como notas fiscais, conhecimentos de transporte e certificados digitais.
Preciso fazer alguma coisa?
Não. A correção é aplicada no servidor da plataforma, e nenhuma ação é necessária por parte da sua empresa para continuar utilizando o sistema com segurança. Caso sua empresa mantenha outros sistemas próprios desenvolvidos em PHP (sites, lojas virtuais, ERPs etc.), recomendamos verificar com o seu fornecedor ou equipe de TI se eles também já foram atualizados.
Seguimos investindo continuamente em segurança — como já fizemos com o reforço de senhas e a verificação em duas etapas no login — para manter seus dados sempre protegidos. Continue acompanhando o blog para mais novidades.
Fontes: alertas da CISA (21/10/2026) e do CERT-EU sobre vulnerabilidades críticas no PHP, e cobertura especializada sobre as CVE-2026-109618 e CVE-2026-109619.