PHP lança correções emergenciais para duas falhas críticas de execução remota

O projeto PHP publicou atualizações emergenciais para duas vulnerabilidades críticas capazes de permitir execução remota de código sem autenticação. As correções chegaram em 21 de outubro de 2026 nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Os dois problemas, identificados como CVE-2026-109618 e CVE-2026-109619, receberam nota 9,2 de 10 no sistema CVSS 4.0.

O aviso oficial considera em risco todas as instalações de PHP que atendem requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O cenário demonstrado mais grave envolve mod_php, no qual uma requisição não autenticada pode acionar o ataque antes que o código da aplicação seja executado. Isso significa que uma atualização do WordPress, Drupal ou de outro sistema escrito em PHP não substitui a correção do runtime no servidor.

Duas falhas com caminhos diferentes

A CVE-2026-109618 envolve corrupção de memória durante o tratamento de falta de memória. Segundo o projeto, o PHP pode interromper uma requisição enquanto dados internos ainda estão parcialmente inicializados; a limpeza posterior pode interpretar esses dados inválidos como legítimos. A CVE-2026-109619 permite que um estado interno ligado a uma requisição sobreviva depois que a memória correspondente foi liberada, criando risco quando o mesmo processo atende uma requisição posterior.

As duas falhas podem resultar em execução remota de código, mas não dependem necessariamente de uma vulnerabilidade no site ou em um plugin. Essa separação altera a prioridade operacional: administradores precisam verificar a versão efetivamente executada pelo servidor, não apenas a versão do CMS ou a família principal exibida no painel. Estar no PHP 8.5, por exemplo, não basta se a instalação ainda for anterior à 8.5.12.

PHP 8.1 e ramos anteriores já não recebem atualizações regulares do projeto. Algumas distribuições e empresas de suporte prolongado oferecem correções retroportadas, e a equipe publicou backports mínimos de código-fonte para PHP 7.4, 8.0 e 8.1. Nesses casos, o número da versão pode não corresponder diretamente à lista oficial, tornando necessário consultar o fornecedor do pacote.

A atualização é a única correção completa

O projeto PHP publicou ajustes temporários, como mudanças no limite de memória e a desativação do progresso de upload de sessão, mas ressalta que essas medidas bloqueiam apenas caminhos conhecidos. A recomendação é instalar os pacotes corrigidos; quando isso não for possível imediatamente, o CERT-EU orienta considerar o isolamento de aplicações expostas à internet até que a atualização seja aplicada e verificada.

A Amazon afirma ter identificado uma tentativa de exploração em sua rede de sensores MadPot em 17 de outubro, quatro dias antes da divulgação pública. A empresa também observou outras tentativas e códigos de demonstração antes do fim do embargo, além de atividade ampla após a publicação das correções. A AWS, porém, disse que não estava claro se as tentativas anteriores teriam funcionado contra sistemas reais. O fato confirmado é a existência de atividade maliciosa detectada; o comprometimento de organizações específicas não foi demonstrado nesse relatório.

A consequência prática é que a janela de resposta deve ser medida em horas, não apenas em ciclos normais de manutenção. Verificar o pacote instalado, confirmar a origem da correção e reiniciar os processos do PHP quando exigido são etapas mais importantes do que confiar somente em filtros de aplicação ou em uma camada externa de proteção.