Duas vulnerabilidades graves do PHP abalaram a internet na semana passada. Conhecidas como “PHP2Shell”, as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 permitem que invasores executem código em servidores web sem nem mesmo precisar fazer login.
Se você viu as notícias, provavelmente está se perguntando se seu e-mail está seguro.
Sua conta do Mailfence não foi afetada. Seu e-mail, documentos, agenda e contatos continuam totalmente protegidos. Veja aqui o que aconteceu e por que você pode continuar usando o Mailfence normalmente.
O que é o PHP2Shell?
PHP2Shell se refere a duas falhas críticas de segurança (CVE-2026-109618 e CVE-2026-109619) no PHP, a linguagem de programação que alimenta cerca de 75% de todos os sites.
O projeto PHP lançou patches em 21 de outubro de 2026. Mas a watchTowr confirmou que a vulnerabilidade já estava sendo explorada naquele mesmo dia, com tentativas que remontam a 17 de outubro.
Por que o PHP2Shell não afeta o Mailfence?
E aqui está o que te deixa tranquilo: o Mailfence não usa PHP no seu serviço.
Como o PHP2Shell tem como alvo especificamente ambientes de servidor PHP, essa rota de ataque simplesmente não existe nos nossos sistemas.
O núcleo de execução do PHP não faz parte do nosso conjunto de tecnologias — por isso, seus dados do Mailfence nunca ficaram expostos a essas vulnerabilidades.
Como reagimos
Mesmo que nossos sistemas não estejam diretamente vulneráveis, levamos a sério qualquer incidente de segurança grave.
Nossa equipe de segurança revisou todos os sistemas assim que a informação veio a público. Isso incluiu uma auditoria completa dos serviços auxiliares e das dependências de terceiros.
No nosso blog e nas páginas da base de conhecimento, que ficam visíveis ao público, nosso provedor de hospedagem já tinha instalado patches de proteção antes mesmo das atualizações oficiais serem lançadas.
Em nenhum momento as contas do Mailfence ou os dados dos usuários estiveram em risco. Continuamos acompanhando de perto o desenrolar dos acontecimentos.
O que você deve fazer?
Se você usa o Mailfence como seu serviço de e-mail, não precisa fazer nada. Sua conta está segura.
No entanto, o PHP2Shell pode afetar outros serviços que você usa. Plataformas auto-hospedadas, sites do WordPress e aplicativos web que rodam PHP estão todos potencialmente vulneráveis.
Aqui vai o que a gente recomenda:
- Atualize imediatamente todos os serviços baseados em PHP. Se você administra seus próprios sites ou aplicativos, atualize para a versão mais recente do PHP agora mesmo.
- Fique de olho em e-mails de phishing. Vulnerabilidades graves costumam dar origem a campanhas de phishing que se passam por “atualizações urgentes de segurança”. Não clique em links suspeitos.
- Ative a autenticação de dois fatores. Se você ainda não ativou a 2FA na sua conta do Mailfence, agora é um ótimo momento para fazer isso.
- Use senhas fortes e diferentes para cada serviço. Um gerenciador de senhas facilita isso. Se uma conta for invadida em outro lugar, seu e-mail do Mailfence continua seguro.
Por que a arquitetura do seu provedor de e-mail é importante
O PHP2Shell é um forte lembrete de que o que rola nos bastidores do seu serviço de e-mail é extremamente importante.
Uma única vulnerabilidade no PHP expôs milhões de sites e aplicativos da noite para o dia. As escolhas tecnológicas que o seu serviço de e-mail fez anos atrás de repente se tornam a diferença entre segurança e risco.
O Mailfence foi desenvolvido tendo a segurança como princípio fundamental desde o início. Isso inclui:
- Criptografia de ponta a ponta com OpenPGP: só você e o destinatário podem ler seus e-mails
- Criptografia em repouso protegendo os dados armazenados nos nossos servidores
- A lei de privacidade da Bélgica e a conformidade com o GDPR: sem publicidade, sem rastreamento, sem backdoors
Dúvidas? Entre em contato conosco pelo e-mail support@mailfence.com.
