PHP corrige duas falhas críticas, com nota 9,2, que permitem execução remota de código
Arkadiy Andrienko
O PHP lançou atualizações de segurança em 21 de outubro de 2026, após identificar duas vulnerabilidades CVE-2026 que afetam instalações expostas à web e receberam nota 9,2 no CVSS 4.0. A equipe de segurança do PHP recomendou que os usuários instalem os patches imediatamente. As vulnerabilidades são identificadas como CVE-2026-109618 e CVE-2026-109619. A primeira envolve corrupção durante o tratamento de falta de memória: ao limpar uma solicitação, o PHP pode acessar dados inválidos, o que pode permitir que um invasor execute código remotamente.
A CVE-2026-109619 diz respeito a um estado global obsoleto que pode apontar para a memória de uma solicitação já liberada. Uma solicitação posterior pode acessar essa memória antes que o programa tenha inicializado completamente seu estado, criando também o risco de execução remota de código. O comunicado informa que as configurações afetadas incluem PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
As versões corrigidas são PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. O projeto PHP não oferece mais atualizações para PHP 8.1 e versões anteriores, embora algumas distribuições e fornecedores com suporte de longo prazo possam disponibilizar correções retroportadas. As vulnerabilidades também chamaram atenção em meio a relatos de ataques iniciais.
O CTO da Cloudflare, Dane Knecht, afirmou que a empresa estava atualizando as mitigações temporárias à medida que surgiam novos vetores de ataque, mas alertou que essas medidas não substituem a instalação das atualizações do PHP.
Estamos observando o surgimento de ataques iniciais e atualizando as mitigações conforme aparecem novos vetores. Esta é apenas uma medida paliativa.
Com relatos de ataques iniciais e medidas de firewall descritas como temporárias, com que rapidez os proprietários de sites devem instalar os patches do PHP?