PHP corrige falhas críticas que permitem execução remota de código

O PHP Group corrigiu duas vulnerabilidades críticas que permitem a atacantes executar código remotamente em servidores, sem necessidade de autenticação. As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, atingem instalações do PHP que atendem requisições web globalmente. A correção foi disponibilizada nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, com recomendação de atualização imediata para mitigar riscos de exploração.

O risco é acentuado no mod_php do Apache, onde um exploit demonstrado permite disparar o ataque por meio de uma requisição não autenticada antes mesmo da execução do código da aplicação. A primeira falha decorre de uma interrupção por falta de memória que deixa dados internos parcialmente inicializados, enquanto a segunda envolve um estado global obsoleto que sobrevive à liberação de memória. Em decorrência da divulgação dessas vulnerabilidades, sites governamentais em diversos países registraram instabilidades nesta quarta-feira (21), forçando equipes de TI a realizar ações emergenciais de proteção e atualização dos sistemas.

Distribuições e fornecedores LTS receberam os patches antecipadamente, mas versões 8.1 e anteriores não possuem suporte oficial do projeto. Embora o PHP Group sugira medidas provisórias, como limitar o uso de memória e reduzir o tamanho de requisições POST, a organização enfatiza que tais ações não tornam a instalação segura. O grupo não detalhou quais versões anteriores são vulneráveis nem confirmou se já existem explorações ativas em larga escala.