PHP anuncia correção emergencial para duas falhas críticas de RCE
Vazamento antecipado das falhas reduz janela para consertos e aumenta risco de servidores não atualizados serem totalmente comprometidos
A equipe de segurança do PHP agendou atualizações de emergência para quarta-feira, 21 de outubro, às 14h00 UTC, para corrigir duas vulnerabilidades críticas de execução remota de código (RCE) e pediu que administradores se preparem para instalar os patches imediatamente.
A empresa de segurança watchTowr e uma postagem agora excluída no Hacker News divulgaram publicamente as duas falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, dizendo que os detalhes vazaram antes da divulgação planejada.
A watchTowr informou que reproduziu a CVE-2026-109618 e acredita que as falhas afetam PHP 5 até PHP 8, mas está retendo detalhes técnicos de exploração até a publicação dos patches oficiais.
O PHP atribuiu a cada problema uma pontuação CVSS v4.0 de 9,2; outras fontes relataram nota máxima de 10,0. Até o momento não há confirmação de exploração observada em ambiente real.
Como vulnerabilidades de execução remota de código permitem que invasores executem software arbitrário em servidores vulneráveis, administradores devem inventariar todas as instâncias PHP, incluindo instalações legadas, e aplicar as atualizações oficiais assim que forem lançadas para reduzir o risco de comprometimento total.