Falhas críticas no PHP expõem servidores web após correção de emergência
Duas vulnerabilidades de execução remota de código sem autenticação em PHP 8.2–8.5 forçaram atualizações urgentes e varreduras em busca de compromissos anteriores ao patch.
O PHP Project divulgou correções para CVE-2026-109618 e CVE-2026-109619 nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 depois que pesquisadores revelaram um par de falhas de execução remota de código (RCE) que afetam PHP 8.2 a 8.5 e exigem atualização imediata.
Pesquisadores e fornecedores relataram tentativas de exploração já antes da divulgação pública: os honeypots MadPot da Amazon detectaram a primeira sondagem e redes de segurança registraram um aumento no tráfego de exploração que chegou a milhões de tentativas em poucas horas após a liberação do patch.
As falhas ocorrem no motor do PHP e podem provocar execução de código sem autenticação por meio de corrupção de memória e estado global obsoleto. Defesas ao nível da aplicação não impedem o exploit — apenas os binários do PHP com o patch aplicam a correção completa.
O risco operacional permanece alto porque atualizar apenas os pacotes não basta: é preciso que os hosts rodem os novos binários; processos worker do PHP e containers devem ser reiniciados ou substituídos; e builds legados ou mantidos por fornecedores podem exigir backports ou isolamento.
Além da correção imediata, o incidente mostra como análises assistidas por IA aceleraram a transformação de falhas antigas do motor em exploits funcionais. Equipes de segurança estão reavaliando práticas de divulgação, inventário e aplicação rápida de patches para reduzir janelas futuras de exposição.