Correção de emergência para falhas críticas no PHP; varreduras e tentativas de ataque disparam
Atualizações fecham duas vulnerabilidades (CVE-2026-109618 e CVE-2026-109619) que permitem execução remota de código sem autenticação.
Mantenedores do PHP divulgaram atualizações de emergência nesta quarta-feira para corrigir duas falhas críticas registradas como CVE-2026-109618 e CVE-2026-109619, ambas avaliadas em 9,2 por permitir execução remota de código sem autenticação.
Agências nacionais de segurança cibernética, incluindo NSA, FBI, CISA e o CERT-EU, recomendaram atualização imediata e orientaram que sites acessíveis pela internet sejam tirados do ar temporariamente caso não possam ser corrigidos rápido.
Provedores como Cloudflare e Amazon registraram tentativas de exploração que cresceram de milhares para milhões de requisições após a divulgação das falhas. Essas empresas passaram a aplicar regras em firewalls de aplicação web e mitigação em rede.
As vulnerabilidades permitem que um invasor cause corrupção de memória ou reutilize dados de requisições antigas, de modo que o PHP execute código do atacante antes do código legítimo do site — o que pode expor arquivos do servidor, bases de dados e credenciais.
Pesquisadores das empresas Wiz e Calif identificaram e demonstraram os bugs usando ferramentas avançadas de IA. As falhas existem há anos e tornam mais difíceis de mapear e atualizar as instâncias de PHP que não são mais suportadas ou que estão embutidas em outros produtos. Por isso, os especialistas recomendam backports pelos fornecedores e monitoramento coordenado para mitigar riscos.
Administradores de sites devem aplicar os patches oficiais do PHP imediatamente, verificar regras de WAF e considerar retirar sistemas expostos enquanto actualizações não forem instaladas. Mantendo inventário de versões de PHP em uso e acompanhando comunicações de fornecedores e CERTs locais ajuda a reduzir a superfície de ataque.