PHP corrige duas falhas críticas que permitem execução remota de código
O PHP Group publicou em 21 de outubro versões corretivas para duas falhas críticas de execução remota de código sem autenticação, e afirma que só a atualização é solução completa.
Pontos principais
- As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35; as duas falhas têm nota 9,2 na escala CVSS v4.0.
- CVE-2026-109618: se a memória se esgota (OOM) enquanto dados internos da requisição ainda estão parcialmente inicializados, a limpeza da requisição trata dados inválidos como válidos.
- CVE-2026-109619: estado global de uma requisição sobrevive à liberação da memória e pode ser usado por uma requisição posterior no mesmo worker, antes da reinicialização.
- Atingem todas as instalações que atendem requisições web: PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. Segundo o PHP Group, o risco é maior no mod_php, onde já há exploração demonstrada sem autenticação.
- Os ramos 8.1 e anteriores não recebem mais atualizações do projeto, e o PHP 8.2 chega ao fim de vida em 31 de dezembro de 2026.
O PHP Group avisou em 20 de outubro que publicaria as correções às 14h UTC de 21 de outubro, e reservou o direito de antecipar a liberação se detalhes das falhas se tornassem públicos ou houvesse exploração ativa.
Para quem não pode atualizar de imediato, o projeto recomenda memory_limit=-1 fora do alcance da aplicação, post_max_size de 8M (ou 32M, se houver uploads) e session.upload_progress.enabled=0, com reinício de todos os workers. Esses ajustes reduzem a exposição sem tornar a instalação segura, e bloqueiam apenas os caminhos já confirmados; o PHP Group desaconselha RLIMIT_AS e RLIMIT_DATA, que podem disparar a falha de alocação vulnerável.
Para os ramos 7.4, 8.0 e 8.1, o PHP Group publicou backports mínimos do código-fonte, e fornecedores LTS e distribuições receberam as correções antecipadamente.