Falhas no motor do PHP permitem execução remota sem autenticação em servidores web
Patches de emergência e proteções por firewall existem, mas muitas versões não corrigidas ou fora de suporte continuam expostas.
Equipes de segurança identificaram duas falhas críticas no motor do PHP registradas como CVE-2026-109618 e CVE-2026-109619 que permitem a um atacante enviar uma requisição web especialmente construída e executar comandos diretamente em servidores vulneráveis.
A Amazon Threat Intelligence afirma que tentativas de exploração começaram antes da divulgação pública: atividades foram registradas no sábado, 17 de outubro. Invasores sondaram honeypots enquanto as correções ainda estavam sob embargo.
O projeto PHP lançou correções de emergência em 21 de outubro para ramos suportados e fornecedores, e empacotadores voluntários publicaram backports, mas muitas instalações expostas à internet e versões fora do ciclo de vida continuam sem atualização.
Defensores relataram varreduras automatizadas em grande escala e surtos de exploração — observados por empresas como Cloudflare — enquanto pesquisadores desenvolveram exploits avançados capazes de contornar proteções, e atores maliciosos testaram cargas úteis ao estilo Mirai em botnets. Ainda não há relatos confirmados de comprometimentos em larga escala.
O caso mostra como ferramentas de IA na fronteira aceleraram tanto a descoberta quanto o desenvolvimento de exploits, aumentando a pressão sobre a manutenção de código aberto. Organizações devem aplicar patches nos runtimes, rever logs em busca de sinais de intrusão e considerar mitigação temporária com WAFs ou ajustes de configuração.