Nesta semana, a comunidade de tecnologia acordou com uma notícia que fez muita equipe de TI trabalhar até tarde: duas falhas críticas no PHP, uma das linguagens mais usadas da web, permitem que um invasor execute comandos em um servidor sem precisar de login ou senha. O caso ganhou até apelido: PHP2Shell.
Se você ficou preocupado com o seu provedor, pode respirar. Neste artigo explicamos o que aconteceu, quem está em risco e por que o Superapp e as demais soluções da Azos Softhouse seguem protegidos.
Resposta curta: nenhuma aplicação da Azos é desenvolvida em PHP. O único componente da nossa infraestrutura que usa PHP é o Coolify, e ele já foi atualizado para a versão 4.4.7. Do lado do Superapp, não é preciso fazer nada. Se o seu ERP usa PHP, veja as recomendações mais abaixo.
🚨 O que é o PHP2Shell
PHP2Shell é o nome dado a duas vulnerabilidades no núcleo do PHP, registradas como CVE-2026-109618 e CVE-2026-109619. As duas receberam nota 9,2 de 10 na escala de gravidade CVSS, o que as coloca entre as falhas mais sérias do ano.
Na prática, um servidor com uma versão vulnerável do PHP pode receber uma requisição preparada por um invasor e passar a executar o código que ele quiser. Isso abre caminho para roubo de dados, instalação de programas maliciosos e uso do servidor em outros ataques.
- Sem autenticação: o invasor não precisa de usuário nem senha;
- Alcance enorme: o problema atinge praticamente todas as versões do PHP em uso;
- Sem atalho: segundo o próprio projeto PHP, nenhuma mudança de configuração resolve por completo. A correção é atualizar;
- Exploração ativa: empresas de segurança já registram tentativas de ataque em massa contra servidores expostos.
📅 Como tudo aconteceu
| Quando | O que aconteceu |
|---|---|
| Antes da divulgação | Primeiras tentativas de exploração começam a ser observadas por empresas de segurança. |
| Divulgação | Informações sobre as falhas vazam, e o projeto PHP agenda uma atualização de emergência. |
| 21 de outubro | O PHP publica as versões corrigidas: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. |
| 21 de outubro | Minutos depois, o Coolify lança a versão 4.4.7, já com o PHP corrigido. |
| Dias seguintes | Tentativas de ataque em massa crescem, e órgãos de segurança recomendam atualização imediata. |
🤔 Quem precisa se preocupar
Qualquer sistema que rode PHP e esteja acessível pela internet: sites em WordPress, lojas virtuais, painéis de gestão e sistemas internos. Versões antigas do PHP, que já não recebem atualizações, são as mais vulneráveis, porque podem nunca receber a correção.
🏢 E o ERP do meu provedor?
Alguns dos sistemas de gestão (ERPs) usados pelos provedores são construídos em PHP. Isso não significa que exista um problema no seu ambiente, mas é o momento certo para confirmar que a atualização foi aplicada. Nossas recomendações:
- Fale com o fornecedor do seu ERP e confirme se a versão do PHP usada no sistema já recebeu a correção do PHP2Shell;
- Se o ERP roda em servidor próprio, atualize o PHP para uma versão corrigida (8.5.12, 8.4.27, 8.3.36 ou 8.2.35) ou instale a atualização de segurança da sua distribuição Linux;
- Reinicie os serviços depois de atualizar, como Apache e PHP-FPM, para que a versão antiga deixe de rodar na memória;
- Confira o pacote instalado, e não apenas o número da versão: algumas distribuições aplicam a correção sem mudar esse número;
- Em versões antigas do PHP, que não recebem mais atualizações oficiais, planeje a migração com o fornecedor;
- Evite deixar o painel do ERP aberto para toda a internet enquanto a atualização não for confirmada. Uma VPN ou a liberação apenas dos endereços necessários reduz bastante o risco.
A integração com o Superapp continua segura
Pode ficar tranquilo quanto ao Superapp: a nossa integração com o ERP é passiva. O Superapp apenas consulta e envia informações pela API oficial do sistema, com as credenciais que o próprio provedor configurou. Ele não instala nada, não executa código e não tem acesso ao servidor onde o ERP está.
Por isso, o Superapp não abre caminho para a falha chegar ao seu ERP, e a atualização do PHP no ERP não muda nada na integração. Depois que o seu fornecedor aplicar a correção, o aplicativo continua funcionando normalmente, sem nenhuma configuração extra.
✅ Por que o Superapp está seguro
Desde o início, escolhemos tecnologias modernas para construir nossas soluções, e nenhuma delas é feita em PHP. Por isso, a falha não atinge o código que atende você e seus clientes.
Também não usamos o Apache, servidor web muito comum em ambientes PHP. Nossas aplicações rodam em servidores próprios das tecnologias que adotamos, sem as peças que costumam acompanhar o PHP.
- Aplicativo Superapp, para Android e iOS;
- Superapp Web, acessado pelo navegador;
- API do aplicativo e integrações com os sistemas de gestão;
- Painel administrativo do Superapp;
- Gateway Urbis, do Clube de Vantagens;
- Base de Conhecimento, onde você lê este artigo.
E o Coolify?
O único ponto da nossa infraestrutura em que o PHP está presente é o Coolify, a ferramenta que usamos para organizar a publicação de parte dos nossos serviços. Por ser construído em PHP, o Coolify sem a correção é afetado pelo PHP2Shell em todas as suas versões 4.
Em 21 de outubro, poucos minutos depois das correções do PHP, o projeto Coolify lançou a versão 4.4.7, uma atualização de segurança que recomenda aplicar imediatamente. Nós já atualizamos nosso ambiente para essa versão.
- PHP atualizado para 8.4.27, a versão que corrige o PHP2Shell (CVE-2026-109618 e CVE-2026-109619);
- Node.js atualizado para 24.22.1, usado no terminal e na geração dos arquivos do painel;
- cloudflared atualizado para 2026.10.3, em resposta ao comprometimento de um certificado da autoridade eMudhra;
- Sentinel atualizado para 1.1.2, corrigindo a falha CVE-2026-111943.
O Coolify fica no bastidor: ele organiza as publicações, mas não atende diretamente os seus clientes. Mesmo assim, aplicamos a correção assim que ela foi liberada, e a atualização foi feita sem interrupção para os provedores e para os clientes que usam o Superapp.
🛡️ Segurança é a nossa missão
Quando você confia o atendimento dos seus clientes ao Superapp, confia também a proteção dos dados deles. Levamos isso a sério todos os dias, não só quando uma falha vira notícia.
- Acompanhamos os alertas de segurança de todas as tecnologias que usamos;
- Avaliamos rapidamente o impacto de cada nova vulnerabilidade no nosso ambiente;
- Aplicamos as correções assim que ficam disponíveis e mantemos tudo em versões suportadas;
- Comunicamos com transparência, como neste artigo, sempre que um tema pode gerar dúvidas.
O PHP2Shell é um bom lembrete de que segurança não é um projeto com data para acabar. É um cuidado contínuo, e é exatamente esse cuidado que você pode esperar da Azos.
💬 Ficou com alguma dúvida?
Nenhuma ação é necessária no Superapp. Se quiser conversar sobre este assunto ou sobre a segurança das nossas soluções, fale com a equipe da Azos pelos canais de atendimento. Estamos aqui para isso.
📚 Fontes
- PHP.net: anúncios oficiais das versões corrigidas;
- PHP.net: anúncio do PHP 8.4.27;
- Rapid7: CVE-2026-109618 e CVE-2026-109619;
- The Hacker News: PHP publica correções de emergência;
- Beazley Security: exploração ativa do PHP2Shell;
- watchTowr: perguntas frequentes sobre o PHP2Shell;
- Help Net Security: falhas corrigidas no PHP;
- Sansec: PHP2Shell e a atualização dos servidores;
- Digital Applied: correções por distribuição e versão do PHP;
- DEV Community: o que fazer depois de atualizar;
- Coolify: aviso de segurança sobre o PHP2Shell;
- Coolify: notas da versão 4.4.7.