Falhas críticas no PHP (CVE-2026-109618/109619) obrigam correções de emergência
Vulnerabilidades permitem execução remota de código sem login; autoridades e empresas pedem atualização imediata ou desligamento temporário
Pesquisadores que usaram ferramentas avançadas de IA identificaram duas vulnerabilidades antigas no PHP e comunicaram-nas aos mantenedores antes que um vazamento antecipado acelerasse a divulgação pública.
As falhas, registradas como CVE-2026-109618 e CVE-2026-109619 e com nota 9,2 na escala CVSS, podem permitir execução remota de código por usuários não autenticados e leitura da memória do processo.
O PHP liberou correções de emergência para versões suportadas — por exemplo 8.5.12, 8.4.27, 8.3.36 e 8.2.35 — e afirmou que a atualização é a única mitigação completa; alguns fornecedores podem fazer backport das correções para versões mais antigas.
Agências nacionais de cibersegurança, além da NSA, do FBI e da CISA, pediram aplicação imediata dos patches ou a retirada temporária de serviços expostos. Empresas de infraestrutura relataram varreduras exploratórias que subiram de milhares para milhões de tentativas após os detalhes terem se tornado públicos.
Como o PHP roda em cerca de 70% dos sites identificáveis e vem incluído em muitos pacotes de hospedagem e aplicações, instâncias sem patch ou esquecidas continuam sendo o maior risco e podem levar a comprometimentos em larga escala se não forem corrigidas.