Correções emergenciais para PHP fecham duas falhas críticas que permitem execução remota
Bugs, catalogados como CVE-2026-109618 e CVE-2026-109619 (CVSS 9.2), levaram a atualizações imediatas, regras temporárias de firewall e suspensão de sites públicos
A equipe de desenvolvimento do PHP divulgou correções emergenciais na quarta-feira, 21 de outubro de 2026, para duas vulnerabilidades críticas identificadas como CVE-2026-109618 e CVE-2026-109619, ambas com nota 9,2 na escala CVSS v4.0.
Agências de segurança da União Europeia, dos Estados Unidos, do Reino Unido, da Austrália e de outros países recomendaram a aplicação imediata dos patches ou a retirada do ar de sites expostos quando não for possível atualizar. Diversos governos chegaram a suspender serviços públicos por precaução.
Pesquisadores da Calif e da Wiz usaram modelos avançados de IA para descobrir e confirmar que as falhas estão relacionadas ao tratamento de memória e permitem execução remota de código por atacantes não autenticados. O achado evidencia o uso defensivo da IA — e também seu risco de duplo uso.
Provedores como Cloudflare e Amazon reportaram tentativas iniciais de exploração e implementaram regras temporárias em firewalls de aplicação web e outras mitigações. Essas medidas, porém, não substituem as atualizações oficiais do PHP.
Um risco importante segue sendo a grande quantidade de instalações antigas ou sem gestão que ainda não têm patch oficial. Esses sistemas vão depender de backports pelos fornecedores, atualizações dos provedores de hospedagem ou isolamento contínuo, etapas que podem levar meses até ficarem seguras.