Venda de um exploit de 1 dia para PHP2Shell ([CVE-2026-109618, CVE-2026-109619](https://dbu.gs/vulnerability/CVE-2026-109619))

Apenas para fins informativos.

Tipo de vulnerabilidade: RCE pré-autenticação
Versões afetadas:
– 8.2 (antes de 8.2.35)
– 8.3 (antes de 8.3.36)
– 8.4 (antes de 8.4.27)
– 8.5 (antes de 8.5.12)

PHP2Shell é uma cadeia de duas vulnerabilidades críticas relacionadas de corrupção de memória no PHP que podem permitir execução arbitrária de código não autenticada. [CVE-2026-109618](https://dbu.gs/vulnerability/CVE-2026-109619) afeta o tratamento de condições de falta de memória durante o processamento de solicitações HTTP, enquanto [CVE-2026-109619](https://dbu.gs/vulnerability/CVE-2026-109619) envolve a retenção de estado global obsoleto entre solicitações.

De acordo com o vendedor, o exploit também funciona nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP, que contêm correções para a cadeia de vulnerabilidades.

Preço: US$ 3 milhões

Um vendedor está oferecendo uma cadeia de exploits RCE pré-autenticação de 1 dia para PHP2Shell, afetando PHP 8.2–8.5 antes das versões corrigidas, e afirma que também funciona em versões corrigidas; o preço é US$ 3 milhões.

Venda de um exploit de 1 dia para PHP2Shell (CVE-2026-109618, CVE-2026-109619)