---
title: "PHP corrige falhas críticas que permitem execução remota de código"
url: https://dailyjournal.news/news/2026-10-21/falha-de-seguranca-descoberta-por-ia-ameaca-70-dos-sites-globais
published: 2026-10-21T14:03:14.542634+00:00
updated: 2026-10-21T16:45:22.653176+00:00
categories: ["technology"]
source_count: 3
outlet_count: 1
language: pt-BR
publisher: "Daily Journal"
---

# PHP corrige falhas críticas que permitem execução remota de código

O PHP Group lançou atualizações para corrigir duas vulnerabilidades críticas que permitem execução remota de código sem autenticação.

## Pontos principais

- As falhas CVE-2026-109618 e CVE-2026-109619 permitem execução remota de código sem autenticação.
- O PHP Group recomenda a atualização imediata para as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
- A vulnerabilidade afeta instalações como PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
- Sites governamentais em diversos países registraram instabilidades após a divulgação das falhas, levando gestores a aplicar medidas de proteção.

O PHP Group corrigiu duas vulnerabilidades críticas que permitem a atacantes executar código remotamente em servidores, sem necessidade de autenticação. As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, atingem instalações do PHP que atendem requisições web globalmente. A correção foi disponibilizada nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, com recomendação de atualização imediata para mitigar riscos de exploração.

O risco é acentuado no mod_php do Apache, onde um exploit demonstrado permite disparar o ataque por meio de uma requisição não autenticada antes mesmo da execução do código da aplicação. A primeira falha decorre de uma interrupção por falta de memória que deixa dados internos parcialmente inicializados, enquanto a segunda envolve um estado global obsoleto que sobrevive à liberação de memória. Em decorrência da divulgação dessas vulnerabilidades, sites governamentais em diversos países registraram instabilidades nesta quarta-feira (21), forçando equipes de TI a realizar ações emergenciais de proteção e atualização dos sistemas.

Distribuições e fornecedores LTS receberam os patches antecipadamente, mas versões 8.1 e anteriores não possuem suporte oficial do projeto. Embora o PHP Group sugira medidas provisórias, como limitar o uso de memória e reduzir o tamanho de requisições POST, a organização enfatiza que tais ações não tornam a instalação segura. O grupo não detalhou quais versões anteriores são vulneráveis nem confirmou se já existem explorações ativas em larga escala.

## Fontes

- [Sites de governos de vários países ficam fora do ar após falha que poderia permitir ataques de hackers](https://redir.folha.com.br/redir/online/mercado/rss091/*https://www1.folha.uol.com.br/tec/2026/10/sites-dos-governos-de-varios-paises-ficam-fora-do-ar-apos-falha-que-poderia-permitir-ataques-de-hackers.shtml) — Folha de S.Paulo (2026-10-21)
- [“Isso não é um exercício”: falhas críticas de segurança colocam milhões de sites em risco e provocam alerta global](https://epocanegocios.globo.com/tecnologia/noticia/2026/10/isso-nao-e-um-exercicio-falhas-criticas-de-seguranca-colocam-milhoes-de-sites-em-risco-e-provocam-alerta-global.ghtml) (2026-10-21)
- [AI Just Found a Bug That Puts Up to 70% of the World’s Websites at Risk](https://www.wsj.com/tech/cybersecurity/ai-just-found-a-bug-that-puts-up-to-70-of-the-worlds-websites-at-risk-fd0902ea?mod=rss_Technology) (2026-10-21)

---

Publicado por Daily Journal. Versão HTML: https://dailyjournal.news/news/2026-10-21/falha-de-seguranca-descoberta-por-ia-ameaca-70-dos-sites-globais