PHP libera correções de emergência para duas falhas críticas de RCE
Atualizações fora de ciclo saíram após vazamento pré-lançamento e relatos de exploração; recomenda-se corrigir ou isolar servidores web expostos
O projeto PHP divulgou na quarta-feira atualizações de emergência que corrigem duas falhas de execução remota de código identificadas como CVE-2026-109618 e CVE-2026-109619, com as correções publicadas às 14:00 UTC.
Cada falha recebeu pontuação 9,2 no CVSS v4.0; segundo o PHP, as vulnerabilidades permitem que invasores executem código com a conta do worker web sem fazer login.
Releases corrigidas estão disponíveis para as versões suportadas 8.2 a 8.5. O projeto também publicou backports mínimos do código-fonte para builds mais antigos das linhas 7.x e 8.0–8.1, voltados a equipes que compilam o PHP a partir do código.
Vendedores de segurança e provedores de CDN, incluindo a Cloudflare, relataram tentativas iniciais de exploração e aplicaram regras temporárias em WAFs. CERTs nacionais recomendaram que organizações inventariem instalações de PHP e se preparem para aplicar os patches ou tirar do ar sites com exposição pública.
Como muitos servidores ainda rodam versões sem suporte do PHP e algumas instalações embarcadas não podem ser atualizadas rapidamente, especialistas esperam um período prolongado de sistemas vulneráveis, com varreduras e tentativas de exploração continuando mesmo depois da janela de correção.