Duas falhas críticas no PHP forçam correção de emergência
Exploração começou dias antes do aviso público; provas de conceito e tentativas de entrega por botnets se espalharam horas após os consertos de quarta‑feira.
O projeto PHP publicou correções de emergência na quarta‑feira para duas vulnerabilidades em tempo de execução, CVE‑2026‑109618 e CVE‑2026‑109619, que permitem execução remota de código sem autenticação no manipulador de requisições do PHP.
A Amazon Threat Intelligence detectou atividade de exploração em 17 de outubro, quatro dias antes do comunicado público, indicando que atacantes sondaram honeypots. A verificação ocorreu enquanto a falha ainda estava sob embargo.
A Cloudflare e várias empresas de segurança registraram uma explosão de varreduras e atividade de prova‑de‑conceito após os patches de 21 de outubro, passando de milhares de tentativas para milhões de sondagens em poucas horas.
A correção completa depende de aplicar os patches, mas o progresso atrasa porque dezenas de milhões de instâncias PHP expostas à internet rodam versões EOL (fim de suporte) ou não atualizadas, e backends incorporados usados por apps móveis e serviços de terceiros ampliam o trabalho de descoberta e remediação.
Pesquisadores relataram tentativas de transformar as falhas em arma com payloads derivados do Mirai, e uma exploração que contorna ASLR foi demonstrada. Ainda assim, fornecedores afirmam que não há validações confirmadas de execuções remotas em larga escala em ambientes produtivos; por isso, organizações devem aplicar os patches imediatamente e caçar sinais de comprometimento.
