Vulnerabilidades com nota 9,2 já estão sendo exploradas; projeto oficial orienta atualizar para as versões 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 e alerta que nenhuma mitigação substitui o patch
A equipe de segurança do PHP publicou nesta quarta-feira (21) atualizações emergenciais para corrigir duas vulnerabilidades críticas na linguagem, uma das mais usadas na web. As falhas, registradas como CVE-2026-109618 e CVE-2026-109619, podem permitir a execução remota de código sem autenticação: um atacante pode rodar comandos no servidor sem precisar de login ou senha.
As duas receberam nota 9,2 na escala CVSS v4.0. O lançamento havia sido anunciado na véspera pelo próprio projeto, que marcou a publicação para as 14h UTC (11h no horário de Belém) e avisou que poderia antecipar a data caso houvesse sinais de exploração.
Como as falhas funcionam
Segundo o comunicado oficial do PHP, a primeira falha (CVE-2026-109618) está no tratamento de situações de falta de memória. O PHP pode ser interrompido enquanto os dados internos da requisição ainda estão parcialmente montados, e a rotina de limpeza passa a tratar essas informações inválidas como se fossem válidas.
A segunda (CVE-2026-109619) envolve dados internos de uma requisição que continuam existindo depois que a memória correspondente já foi liberada. Uma requisição seguinte, atendida pelo mesmo processo, pode usar esse estado antigo antes que ele seja reiniciado.
Quem está em risco
O projeto informa que todas as instalações de PHP que atendem requisições web estão potencialmente afetadas, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
O risco é considerado mais alto no mod_php, para o qual já existe um exploit demonstrado: uma requisição sem autenticação pode disparar o ataque antes mesmo de qualquer código da aplicação ser executado. Ou seja, um sistema bem programado não basta para proteger o servidor nesse cenário.
Exploração já começou
A empresa de segurança watchTowr relatou ao site The Register que já observa tentativas de exploração no mundo real, com diversas provas de conceito circulando e identificadas pelo nome “php2shell”. De acordo com Jake Knott, chefe de inteligência de ameaças da empresa, nenhuma tentativa teve sucesso até agora, mas a expectativa é de que isso mude em breve.
Governos tiram sites do ar por precaução
Antes mesmo da publicação dos patches, o CERT-EU, órgão de resposta a incidentes das instituições da União Europeia, recomendou que organizações isolassem das redes públicas as aplicações expostas à internet caso não pudessem atualizar imediatamente.
Serviços do governo da Finlândia saíram do ar como medida preventiva, assim como sites do parlamento holandês, de autoridades de cibersegurança e do regulador de proteção de dados da Holanda. A organização de defesa da privacidade noyb também retirou temporariamente seu site.
Como atualizar
As orientações oficiais do projeto PHP são:
Atualizar para PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, conforme o ramo em uso;
Distribuições Linux e fornecedores de suporte estendido receberam os patches com antecedência, então vale verificar se já há pacotes atualizados disponíveis;
Quem depende do repositório comunitário rpms.remirepo.net não terá atualização no dia do lançamento, e o projeto recomenda migrar para pacotes da distribuição ou compilar a partir do código-fonte.
E quem usa versões antigas?
O PHP 8.1 e anteriores não recebem mais atualizações do projeto oficial. Diante da gravidade, porém, a equipe de segurança disponibilizou correções mínimas no código-fonte para as versões 7.4, 8.0 e 8.1, voltadas a quem compila o PHP por conta própria ou não tem acesso a um fornecedor de suporte estendido. A recomendação continua sendo migrar para uma versão suportada.
O projeto também lembrou que o PHP 8.2 chega ao fim do suporte em 31 de dezembro de 2026, sem novas correções de segurança após essa data.
Mitigações são apenas paliativas
Para quem não consegue atualizar de imediato, o comunicado lista ajustes de configuração que reduzem caminhos específicos de ataque, como desativar o recurso de progresso de upload de sessões, rever limites de memória e reduzir o tamanho máximo de requisições POST. O próprio projeto é enfático: essas medidas não tornam a instalação segura, e atualizar é a única solução completa.
Alcance amplo
A Huntress, empresa de segurança, destaca que o PHP está na base de plataformas como WordPress, Drupal, Joomla e Magento, além de hospedagens compartilhadas, painéis de controle e diversos softwares que nem informam usar a linguagem. Para John Hammond, pesquisador sênior da empresa, isso faz com que a lista de lugares onde procurar versões vulneráveis cresça muito rápido.
Atenção para o ecossistema local
Como o PHP sustenta boa parte dos sites institucionais, portais, lojas virtuais e sistemas em WordPress, o alerta vale também para órgãos públicos, empresas, agências e desenvolvedores do Pará e da Região Norte. Quem mantém sites próprios ou de clientes deve verificar a versão em uso e confirmar com o provedor de hospedagem se a atualização já foi aplicada.
Com informações do PHP.net, The Register, CERT-EU e Huntress.
