Vulnerabilidade no PHP (PHP2Shell): afeta os plugins do Civil 3D e do Revit?
O PHP corrigiu em 21/10/2026 duas falhas críticas (PHP2Shell). Por que não atingem seus plugins do Revit e do Civil 3D, onde atingem e o que fazer hoje.
Segurança · Revit · Civil 3D
PHP2Shell: a falha crítica do PHP não atinge seus plugins do Civil 3D e do Revit, mas pode atingir o seu escritório
O que foi corrigido em 21 de outubro de 2026, onde um escritório de engenharia usa PHP, o único caso em que um plugin fica exposto e o que fazer hoje.
O que aconteceu com o PHP em 21 de outubro de 2026?
O PHP publicou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, que corrigem duas falhas críticas: CVE-2026-109618 e CVE-2026-109619, com nota CVSS v4.0 de 9.2. Elas permitem executar código no servidor sem login. São conhecidas como PHP2Shell.
Atingem toda instalação de PHP que atende páginas web: PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O aviso oficial é claro: não há mitigação completa, a única opção segura é atualizar. O PHP 8.1 e as versões anteriores não recebem mais correções do projeto, e a agência de cibersegurança dos EUA (CISA) recomenda tirar esses sistemas do ar até atualizá-los.
Afeta os plugins do Civil 3D e do Revit?
Não. Um plugin em C# é um arquivo .dll que o Revit ou o Civil 3D carregam ao abrir. Ele roda dentro do programa, no seu computador, sobre .NET. Não há PHP no caminho. O mesmo vale para os scripts do Dynamo e as rotinas LISP.
Em um plugin, a segurança depende de outras coisas: as bibliotecas, a versão do .NET em que ele roda e de onde ele é instalado. Explicamos em segurança de plugins para Revit e Civil 3D.
Onde pode afetar um escritório de engenharia?
Em tudo o que funciona como site com PHP:
- O site da empresa, principalmente se foi feito com WordPress.
- A intranet ou o portal onde se compartilham pranchas e documentos.
- Um sistema interno em servidor próprio que ninguém atualiza.
- O servidor do fornecedor de um plugin comercial, se dele vêm licenças ou atualizações.
O último caso é o único que chega a um plugin. Se esse servidor for comprometido, ele pode entregar um instalador alterado. Por isso vale saber de onde seus plugins se atualizam e se os instaladores são assinados.
O que fazer hoje?
- Liste os sites e servidores com PHP: site, intranet, portais e sistemas internos.
- Atualize o PHP para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou peça à sua hospedagem que confirme a atualização.
- Se você usa PHP 8.1 ou anterior, fale com o fornecedor ou tire o sistema da internet até atualizar.
- Pergunte ao fornecedor de cada plugin comercial onde rodam as licenças e as atualizações, e se já corrigiu.
- Revise seus plugins sob medida: bibliotecas, versão do .NET e assinatura digital.
Fontes
- Aviso de segurança do PHP: versões corrigidas, instalações afetadas e mitigações (21 de outubro de 2026).
- Alerta da CISA sobre as falhas do PHP (21 de outubro de 2026).
Dados verificados em 21 de outubro de 2026.
Recursos relacionados
- Como se protege um plugin: segurança de plugins para Revit e Civil 3D.
- Como se constrói um: desenvolvimento de add-ins para Revit e Civil 3D.
- Para orçar: quanto custa um add-in para Revit ou Civil 3D.
Perguntas frequentes sobre a vulnerabilidade no PHP e seus plugins
A vulnerabilidade no PHP afeta o Revit ou o Civil 3D?
Não. O Revit e o Civil 3D são programas de desktop para Windows, e os plugins em C# rodam sobre .NET, não sobre PHP. As falhas CVE-2026-109618 e CVE-2026-109619 atingem servidores web que executam PHP, como o site ou a intranet da empresa, portais de documentos ou servidores de licenças.
Quais versões do PHP corrigem a CVE-2026-109618 e a CVE-2026-109619?
PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, publicadas em 21 de outubro de 2026. O PHP 8.1 e as versões anteriores não recebem mais correções do projeto: é preciso falar com o fornecedor ou tirar o sistema do ar até atualizar, como recomenda a CISA.
Meu plugin do Revit ou do Civil 3D pode ser afetado de alguma forma?
Só de forma indireta: se o plugin baixa licenças, dados ou atualizações de um servidor com PHP e esse servidor for comprometido, ele pode entregar um instalador alterado. Pergunte ao fornecedor onde roda esse servidor e se já atualizou, e prefira plugins com instalador assinado.
O que é o PHP2Shell?
É o nome dado às duas falhas críticas do PHP corrigidas em 21 de outubro de 2026, CVE-2026-109618 e CVE-2026-109619, com nota CVSS v4.0 de 9.2. Elas permitem executar código em um servidor web sem login.
Quem revisa a segurança dos plugins do Revit e do Civil 3D?
Na Zeist desenvolvemos e mantemos plugins em C# para Revit e Civil 3D: revisamos as bibliotecas, a versão do .NET em que rodam, a assinatura digital e de onde se atualizam. O diagnóstico é gratuito e dura uma semana.
Continue lendo sobre este tema
Desenvolvimento de add-ins para Revit e Civil 3D: o guia completo em português (2026)
Guia completo para desenvolver add-ins para Revit e Civil 3D: o que são, o que automatizar, C# e a API da Autodesk, como distribuir e quanto custam.
Como criar um plugin para Civil 3D com Claude Code sem ser programador: guia end-to-end 2026
Como criar um plugin para Civil 3D com Claude Code sem saber programar: arquitetura, prompts que funcionam e como compilar e instalar no escritório.
Dynamo vs C# no Civil 3D e Revit: quando usar cada um + automações que economizam horas
Dynamo ou C# para automatizar Civil 3D e Revit: diferenças reais, quando cada um vale a pena e automações que economizam horas, com exemplos.
Quanto custa um add-in para Revit ou Civil 3D? Guia de preços e prazos 2026
Quanto custa desenvolver um add-in para Revit ou Civil 3D: que fatores mudam o preço e o prazo, e como calcular se ele se paga com as horas economizadas.