PHP anuncia correção de emergência para duas falhas críticas de execução remota
Atualizações saem quarta às 14:00 UTC; administradores devem preparar-se para aplicar os patches imediatamente.
A equipe do PHP informou que vai publicar correções de segurança de emergência na quarta‑feira às 14:00 UTC para resolver duas vulnerabilidades críticas de execução remota de código (RCE) e recomendou que administradores se preparem para atualizar assim que os patches estiverem disponíveis.
Pesquisadores de segurança identificaram as falhas como CVE-2026-109618 e CVE-2026-109619 e disseram que uma das vulnerabilidades foi parcialmente reproduzida. O PHP ainda não divulgou detalhes técnicos nem confirmou quais versões são afetadas.
Antes do anúncio oficial houve relatos de vazamento prévio de informações e de uma demonstração de exploit não verificada chamada “PHP2Shell”, mas o material do exploit e as afirmações de testes em massa não foram confirmados pelo PHP.
O aviso pede que administradores façam inventário de todas as instalações de PHP, priorizem para remediação as versões expostas à internet e as branches sem suporte, e coordenem com provedores de hospedagem para aplicar as atualizações oficiais imediatamente.
Como o PHP alimenta grande parte da web e muitos sistemas de gerenciamento de conteúdo, uma RCE amplamente explorável poderia permitir comprometimento rápido de servidores e ataques a sites inteiros caso a correção seja adiada ou surja código de prova de conceito publicamente.