Como Proteger seu Servidor Linux e Windows Contra as Falhas RCE do PHP (Com Scripts)
Todo mundo noticiou a falha 9.8 do PHP, mas poucos mostram como resolver. Aprenda a blindar sua infraestrutura (Linux e Windows IIS) com scripts automáticos de auditoria.
Editor TecDicas
Muito Além da Notícia: Como Blindar sua Infraestrutura Contra as Novas Falhas Críticas do PHP
Se você acompanha as notícias de tecnologia, já deve estar sabendo da tempestade que atingiu a internet nos últimos dias. Duas falhas críticas de Execução Remota de Código (RCE) no PHP — a CVE-2026-109618 e a CVE-2026-109619 — deixaram mais de 22 milhões de sites vulneráveis. Com uma pontuação máxima de 9.8 no CVSS, bots impulsionados por Inteligência Artificial já estão varrendo a web atrás de servidores Apache, Nginx e IIS desprotegidos.
Em quase todos os blogs, você vai ler sobre o pânico gerado por essas brechas de esgotamento de memória (OOM) e corrupção de estado global. Mas aqui no TecDicas, eu prefiro focar na solução.
Neste artigo, vou te mostrar exatamente como fechar essas portas no seu servidor, como ajustar o seu php.ini para mitigar os ataques e, no final, disponibilizo dois scripts de auditoria (em Bash para Linux e PowerShell para Windows) que eu criei para você rodar e verificar automaticamente a segurança do seu ambiente.
O Que Realmente Está em Jogo no seu Servidor?
A maioria dos portais foca no "fim do mundo", mas o problema técnico reside em como o PHP lida com a memória:
Esgotamento de Memória (OOM - CVE-2026-109618): O atacante envia requisições forjadas para estourar o limite de memória do interpretador. Quando a execução falha, o estado da memória fica corrompido, permitindo a injeção de comandos diretamente no sistema operacional.
Ponteiros Obsoletos (CVE-2026-109619): Uma falha no garbage collection do PHP permite que requisições sequestrem sessões na memória.
Se você roda um servidor Apache com mod_php em uma VPS padrão, você é o alvo número um. Bots já estão varrendo a internet em busca de IPs expostos.
O Que Você Precisa Fazer Agora Mesmo
A recomendação oficial e definitiva é atualizar o PHP para as versões com patch de segurança: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
No entanto, se você gerencia servidores em produção, sabe que atualizar pacotes essenciais no meio do dia pode quebrar aplicações legadas. Se você não pode atualizar o PHP agora, aplique estas três camadas de defesa:
1. Ajustes Emergenciais no php.ini
Os ataques dependem de configurações permissivas de memória e sessão. Acesse seu servidor e faça o seguinte:
Trave o Limite de Memória: Não deixe o memory_limit ilimitado. Ajuste para o mínimo que sua aplicação exige (ex: memory_limit = 128M).
Desative o Progresso de Upload de Sessão: Este é o principal vetor de exploração. Localize a linha no seu php.ini e altere para: session.upload_progress.enabled = Off.
Lembre-se de reiniciar o serviço web (Apache, PHP-FPM ou IIS) após salvar o arquivo.
2. Isole com Firewalls de Borda
Não deixe a porta 80 ou 443 da sua infraestrutura exposta sem um filtro inteligente. Se você utiliza soluções robustas como o OPNsense, ative regras de Web Application Firewall (WAF) para bloquear tentativas de injeção de comandos antes mesmo que a requisição HTTP chegue ao servidor.
3. Monitoramento Avançado
Invasores usam essa brecha para abrir shells interativos ou baixar scripts maliciosos. Fique de olho na árvore de processos do seu servidor via Zabbix. Se o usuário www-data (no Linux) ou o pool do IIS (no Windows) começar a executar comandos nativos de rede, seu servidor foi comprometido.
Scripts de Auditoria Automática (Para Copiar e Colar)
Para facilitar o seu trabalho como administrador de redes e evitar erros humanos na varredura de múltiplos arquivos de configuração, criei versões automatizadas que fazem o trabalho pesado. Esses scripts identificam a versão do PHP, listam os módulos carregados e verificam proativamente se as diretivas perigosas (memory_limit ilimitado e session.upload_progress.enabled) estão ativas.
Escolha o script correspondente ao sistema operacional do seu servidor:
1. Script de Auditoria para Linux (Debian, Ubuntu, CentOS)
Como rodar o script de auditoria no Linux (Ubuntu, Debian, CentOS, AlmaLinux): O script abaixo é super inteligente: ele varre os binários, checa a configuração ativa (php.ini + conf.d) e lê os changelogs do seu sistema para ver se a distro já aplicou patches de segurança (backports) sem que você saiba.
2. Script de Auditoria para Windows Server (IIS)
Se você gerencia uma infraestrutura baseada em Windows Server com IIS executando PHP, o vetor de ataque é exatamente o mesmo. Abra o PowerShell como Administrador e execute o script abaixo. Ele varrerá os caminhos comuns de instalação do PHP no sistema, além de verificar a configuração ativa.
Como salvar e executar o script de auditoria no Windows:
Copie todo o código do quadro preto abaixo.
Abra o Bloco de Notas no seu servidor Windows e cole o código.
Vá em Arquivo > Salvar como...
Em "Tipo", mude de "Documentos de texto (.txt)" para **"Todos os arquivos (.*)"**. Salve o arquivo com o nome audita_php.ps1.
Para executar, clique com o botão direito sobre o arquivo salvo e escolha Executar com o PowerShell.
Dica pro: Para que o script consiga ler as configurações do IIS (applicationHost.config), é recomendável abrir o PowerShell como Administrador, navegar até a pasta onde salvou o arquivo e executá-lo digitando .\audita_php.ps1.
Conclusão: Segurança é um Processo Contínuo
As falhas CVE-2026-109618 e 109619 são um lembrete duro de que manter serviços expostos à internet exige uma arquitetura de defesa em camadas. Atualizar o software é o cenário ideal, mas ter firewalls bem configurados, monitoramento ativo e configurações otimizadas é o que realmente salva o seu ambiente nos "Dias Zero".
Não espere o pior acontecer. Revise seus limites de memória, aplique os filtros de proteção e mantenha sua infraestrutura sempre sob vigilância.
Perguntas Frequentes (FAQ): Proteção contra as Falhas Críticas do PHP
O que é a vulnerabilidade CVE-2026-109618 no PHP? Trata-se de uma falha de segurança de Execução Remota de Código (RCE) com gravidade máxima (CVSS 9.8). Ela explora o esgotamento de memória (Out of Memory - OOM) do interpretador PHP, permitindo que atacantes injetem e executem comandos maliciosos diretamente no sistema operacional do servidor sem necessidade de autenticação.
Como saber se minha VPS ou servidor dedicado está vulnerável? Se você utiliza Apache com mod_php, Nginx com PHP-FPM ou LiteSpeed, e roda versões do PHP anteriores aos patches de correção, seu servidor é um alvo potencial. Recomendamos rodar os scripts de auditoria em Bash (Linux) ou PowerShell (Windows) disponibilizados neste artigo para verificar se suas diretivas do php.ini estão expostas a ataques.
Apenas sites em WordPress são afetados por essa falha? Não. Qualquer aplicação, sistema web, painel administrativo, fórum ou API construída em PHP corre risco. A vulnerabilidade reside no motor da própria linguagem (o interpretador) e na forma como ele gerencia a memória no servidor, afetando a infraestrutura independentemente do CMS utilizado.
Qual é a solução definitiva para o alerta RCE do PHP? A mitigação definitiva exige a atualização imediata dos pacotes do PHP no seu sistema operacional. A equipe de segurança liberou as versões corrigidas oficiais: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Não posso atualizar os pacotes do servidor hoje. Existe uma mitigação temporária? Sim. Acesse o seu servidor via SSH (Linux) ou PowerShell (Windows) e edite o arquivo php.ini do seu serviço web. Reduza a diretiva memory_limit para o mínimo estritamente necessário para sua aplicação rodar e desative o progresso de upload configurando session.upload_progress.enabled = Off. Não se esqueça de reiniciar o Apache, PHP-FPM ou IIS após salvar as alterações.
Leve sua Infraestrutura para o Próximo Nível
Acesse Nossos Guias e Tutoriais Gratuitos: Para conferir mais artigos práticos, análises de vulnerabilidades e dicas avançadas de hardening e redes, acesse nossa categoria dedicada de Segurança e Infraestrutura do TecDicas.
Garanta o controle total da sua rede, evite paradas não programadas e especialize-se na ferramenta de segurança que mais cresce no mercado corporativo!