Atualize o PHP: duas falhas críticas permitem execução remota sem autenticação
Correção de emergência liberada; somente atualizar o runtime PHP elimina totalmente o risco, dizem desenvolvedores e pesquisadores.
O projeto PHP liberou atualizações de emergência na quarta-feira, 21 de outubro de 2026, para corrigir duas vulnerabilidades críticas rastreadas como CVE-2026-109618 e CVE-2026-109619, ambas com pontuação 9,2 na escala CVSS v4.0.
As falhas estão no runtime do PHP e afetam qualquer instalação que atenda requisições web. O módulo mod_php do Apache é considerado o de maior risco, porque um único pedido não autenticado pode explorar a vulnerabilidade antes do código da aplicação ser executado.
O PHP distribuiu correções para os ramos suportados (8.2 a 8.5) e disponibilizou backports em código-fonte para algumas versões mais antigas, enquanto distribuidores e fornecedores trabalham para embalar as atualizações.
Empresas de segurança e provedores de infraestrutura registraram tentativas iniciais de exploração e aplicaram regras temporárias de WAF e outras medidas paliativas. Ainda assim, o PHP e os pesquisadores afirmam que apenas instalar as atualizações do runtime elimina por completo a vulnerabilidade.
Pesquisadores estimam que milhões de hosts expostos na internet podem estar vulneráveis. Certificados de resposta a incidentes (CERTs) na UE, Reino Unido, Austrália e outros recomendaram a correção imediata ou, quando não for possível atualizar, tirar os sites afetados do ar.