Falhas críticas no PHP levam governos e empresas a suspenderem sites

Security advisory: Critical remote code execution vulnerabilities, update now

PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 corrigem duas vulnerabilidades críticas que permitem execução remota de código sem autenticação, e o projeto pede atualização imediata de todas as instalações que atendem requisições web (PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP, LiteSpeed). CVE-2026-109618 (GHSA-w8hw-w9fx-j79w, RCE via corrupção por OOM): uma interrupção por falta de memória pode deixar dados internos da requisição parcialmente inicializados, e a limpeza da requisição passa a tratar esses dados inválidos como válidos. CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp, RCE via estado global obsoleto): estado interno da requisição sobrevive depois que sua memória é liberada, e uma requisição posterior no mesmo worker pode usá-lo antes da reinicialização. O risco é maior em mod_php, com exploit demonstrado em que uma requisição não autenticada dispara o ataque antes de qualquer código da aplicação rodar. Distribuições e fornecedores LTS receberam os patches antecipadamente. PHP 8.1 e versões anteriores não recebem mais atualizações do projeto. Se não for possível atualizar: memory_limit=-1 (preferencialmente via php_admin_value) e post_max_size baixo (8M sem uploads, 32M com uploads), com limites também no servidor web. O aviso diz que essas medidas reduzem a exposição, mas não tornam a instalação segura.