Resumo: Duas vulnerabilidades críticas (CVSS v4.0 9.2) no próprio interpretador PHP, apelidadas de “PHP2Shell”, permitem execução remota de código sem autenticação em qualquer aplicação PHP — WordPress, WooCommerce, Drupal, Magento, Joomla e Laravel —, independentemente de plugins ou tema. Detalhes vazaram em 20/10, antes da divulgação coordenada, e a Patchstack confirmou múltiplos incidentes de exploração ativa na manhã de 21/10; o CERT-EU também emitiu alerta. O projeto PHP agendou uma versão de segurança emergencial para 21/10 às 14:00 UTC (11:00 de Brasília), e atualizar o PHP é a única correção real.
Fonte: Patchstack
O que fazer: Assim que a versão de segurança sair, atualize o PHP de todos os sites e servidores — relatos citam 8.5.12, 8.4.27, 8.3.36 e 8.2.35, mas confirme no aviso oficial do php.net — e reinicie o PHP-FPM/Apache/LiteSpeed. Em hospedagem compartilhada ou gerenciada, cobre da hospedagem a data da atualização e confira a versão em Ferramentas › Saúde do site › Informações › Servidor. Versões fora de suporte (PHP 7.x, 8.0, 8.1) devem ser migradas. Enquanto isso, mantenha WAF ativo (Cloudflare e Patchstack já publicaram regras) e, depois do patch, verifique wp-content/uploads e mu-plugins em busca de arquivos .php recentes e administradores desconhecidos.