---

📌 Visão Geral

PHP2Shell refere-se a um par de vulnerabilidades zero-day/críticas descobertas no motor central do PHP (CVE-2026-109618 e CVE-2026-109619). Essas vulnerabilidades permitem que atacantes não autenticados executem código arbitrário (RCE) em servidores que executam configurações vulneráveis do PHP.

   ┌───────────────────────────────┐
   │     Unauthenticated Attacker  │
   └───────────────┬───────────────┘
                   │
                   ▼ 🟣 Exploit Payload
   ┌───────────────────────────────┐
   │   PHP Engine Core Processing  │
   │ (Stream Filters / PHAR Arch)  │
   └───────────────┬───────────────┘
                   │
                   ▼ ⚡
   ┌───────────────────────────────┐
   │   Arbitrary Shell Execution   │
   └───────────────────────────────┘

⚡ Detalhes da Vulnerabilidade

Parâmetro	Detalhes
Vulnerabilidades	CVE-2026-109618 & CVE-2026-109619
Pontuação CVSS v4.0	9.2 (Crítica)
Vetor	CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H
Impacto	Execução Remota de Código (RCE) Não Autenticada
Software Afetado	PHP 5.x, PHP 7.x, PHP 8.0, 8.1, 8.2, 8.3, 8.4

🟣 Análise das Ameaças

1. CVE-2026-109618: Corrupção de Memória Heap em Filtros de Stream

• Mecanismo: Violação de segurança de memória acionada durante o processamento interno de buffers dentro dos filtros de stream do PHP.
• Vetor de Exploração: A manipulação de parâmetros de stream permite que um atacante controle endereços de memória e alcance a execução de código.

2. CVE-2026-109619: Falha Lógica no Tratamento de Arquivos PHAR

• Mecanismo: Falha na lógica de análise e desserialização dos wrappers de Arquivo PHP (.phar).
• Vetor de Exploração: Entradas de cabeçalho controladas pelo atacante levam à invocação arbitrária de funções.

---

📸 Demonstração

---

🛡️ Mitigação e Correção

1. Atualize os Pacotes PHP

A correção mais eficaz é atualizar seu servidor imediatamente para os binários PHP mais recentes com patches:

# Debian / Ubuntu
sudo apt update && sudo apt install --only-upgrade php8.3-cli php8.3-fpm

# RHEL / CentOS / Rocky Linux
sudo dnf update php

2. Soluções de Contorno de Emergência (Para Ambientes EOL)

Se a sua aplicação depende de versões End-of-Life (EOL) (por exemplo, PHP 7.x ou 8.0) que não recebem patches de segurança oficiais:

• 🟣 Desativar Filtros de Stream / Funções Perigosas: Edite o seu ficheiro php.ini:

disable_functions = exec,passthru,shell_exec,system,proc_open,popen,phar

• 🟣 WAF / Filtragem de Rede: Implemente regras rigorosas de firewall de aplicação web (WAF) para descartar requisições que contenham protocolos de fluxo serializados (php://filter/, phar://).
• 🟣 Isolamento de Rede: Isole servidores legados atrás de redes internas/VPNs rigorosas.

---

🔍 Detecção e Verificação

Para verificar se o seu servidor executando PHP é potencialmente vulnerável:

# Check running PHP version
php -v

# Check loaded modules and PHAR settings
php -i | grep -i "phar"

🤝 Contribuindo

Contribuições, atualizações de ameaças e regras de detecção (YARA / Sigma) são bem-vindas!

1. Faça um fork do repositório
2. Crie uma branch de feature (git checkout -b feature/sigma-rule)
3. Faça commit das suas alterações (git commit -m 'Add Sigma detection rule')
4. Faça push para a branch (git push origin feature/sigma-rule)
5. Abra um Pull Request

---

📜 Aviso Legal

Este repositório foi criado puramente para fins educacionais, defensivos e de pesquisa. Os mantenedores não são responsáveis por uso indevido ou atividades ilegais realizadas com as informações aqui fornecidas.