A equipe de segurança do PHP lançou hoje um patch emergencial fora do ciclo normal, corrigindo duas vulnerabilidades de execução remota de código com pontuação CVSS 9.2.
Um atacante sem nenhuma credencial pode executar código diretamente no servidor em determinadas configurações. Pior: os detalhes do exploit vazaram um dia antes da divulgação prevista, forçando a equipe a agir antes do planejado.
As falhas são identificadas como CVE-2026-109618 e CVE-2026-109619 e afetam os branches suportados do PHP 8.2 ao 8.5. O problema está no próprio motor do PHP — não em uma aplicação ou plugin.
Isso significa que, por mais seguro que seja o código do seu WordPress ou Laravel, se o PHP por baixo não for atualizado, o risco continua.
Segundo o CERT-AGID e o The Hacker News, as duas falhas vêm de erros de gerenciamento de memória no motor do PHP. O cenário mais perigoso é Apache + mod_php: uma única requisição HTTP não autenticada é suficiente para disparar o ataque antes mesmo da execução do código da aplicação, comprometendo o servidor inteiro.
- Pontuação CVSS v4.0 de 9.2 em ambas — nível crítico
- Atacantes podem ler a memória do processo PHP, potencialmente obtendo senhas, chaves de API e tokens de sessão
- Já circula um Proof-of-Concept público, embora a eficácia ainda não tenha sido totalmente confirmada; a expectativa é de aumento rápido em varreduras e tentativas de ataque
- Ambientes PHP-FPM têm risco relativamente menor, mas a segunda falha já foi confirmada com execução de código também sob FPM
PHP: VERSÕES CORRIGIDAS E DISPONIBILIDADE
As versões afetadas cobrem a grande maioria dos branches PHP em uso hoje. PHP 8.1 e anteriores estão sem suporte e não receberão correção oficial — continuar rodando essas versões equivale a exposição permanente.
| Branch | Versão segura | Status |
|---|---|---|
| PHP 8.5 | 8.5.12 | Atualize já |
| PHP 8.4 | 8.4.27 | Atualize já |
| PHP 8.3 | 8.3.36 | Atualize já |
| PHP 8.2 | 8.2.35 | Atualize já (EOL no fim de 2026) |
| PHP 8.1 e anteriores | Sem patch oficial | Migração obrigatória |
Aviso crítico: atualizar WordPress, Laravel ou qualquer aplicação não corrige essa falha. O patch vem do pacote PHP no nível do servidor, do provedor de hospedagem ou da imagem de container. Após atualizar, é obrigatório reiniciar o Apache, o PHP-FPM e todos os processos PHP persistentes — caso contrário, a versão antiga continua rodando em memória.
Se não for possível atualizar imediatamente, as mitigações temporárias são bastante limitadas: para o CVE-2026-109618, recomenda-se definir memory_limit=-1 e reduzir o post_max_size; para o CVE-2026-109619, desativar session.upload_progress.enabled e reiniciar todos os workers.
Mas a equipe do PHP deixa claro: essas mudanças de configuração não substituem o patch — apenas reduzem a superfície de ataque em caminhos específicos.
A lição central deste episódio não é “mais uma vulnerabilidade”, mas sim a dívida de segurança na camada de infraestrutura. O PHP move uma fatia enorme da web, e uma falha no motor significa que toda aplicação que depende dele — por mais limpo que seja o código — está na mesma linha de risco.
Se o seu servidor ainda roda 8.1 ou anterior, hoje é o momento de reavaliar o plano de migração. Continue rolando: reunimos os comandos de verificação rápida e os passos de validação pós-atualização.
Fonte: PHP
