PHP anuncia patches de emergência para duas falhas críticas de RCE
Detalhes de exploits vazados aumentam risco de ataques em massa; administradores devem preparar atualizações ou isolar servidores vulneráveis.
O projeto PHP informou que fará um lançamento de segurança fora do cronograma na quarta‑feira, 21 de outubro, às 14:00 UTC, para publicar correções e detalhes técnicos sobre duas vulnerabilidades críticas com pontuação 9,2 na CVSS v4.0.
Relatos públicos ligaram as falhas aos identificadores CVE‑2026‑109618 e CVE‑2026‑109619 e circularam um vídeo e uma ferramenta de exploit chamada “PHP2Shell”, mas o PHP não confirmou oficialmente esses identificadores nem os detalhes técnicos vazados.
Pesquisadores dizem que as falhas são de execução remota de código (RCE) e poderiam permitir que um atacante executasse comandos em servidores vulneráveis. Até o último relatório não há confirmação de exploração ativa em campo.
O PHP vai liberar correções apenas para as versões suportadas (8.2–8.5), o que deixa instalações em fim de vida sem correção do fornecedor. Isso aumenta a necessidade de atualizar, isolar ou remover temporariamente da internet sistemas legados.
Equipes de resposta a incidentes (CERTs) e fornecedores orientam ação imediata: inventariar todas as instâncias PHP — incluindo contêineres e appliances com PHP embutido — priorizar hosts expostos à internet para aplicar os patches assim que forem publicados, implementar WAFs e monitoramento para processos php suspeitos, e preservar logs caso haja suspeita de comprometimento.