---
title: "PHP corrige duas falhas críticas que permitem execução remota de código"
url: https://dailyjournal.news/news/2026-10-21/falhas-criticas-no-php-vazam-e-exigem-atualizacao-emergencial-de-sites
published: 2026-10-21T13:01:57.884612+00:00
updated: 2026-10-21T14:15:25.861423+00:00
categories: ["technology"]
source_count: 2
outlet_count: 1
language: pt-BR
publisher: "Daily Journal"
---

# PHP corrige duas falhas críticas que permitem execução remota de código

O PHP Group publicou em 21 de outubro versões corretivas para duas falhas críticas de execução remota de código sem autenticação, e afirma que só a atualização é solução completa.

## Pontos principais

- As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35; as duas falhas têm nota 9,2 na escala CVSS v4.0.
- CVE-2026-109618: se a memória se esgota (OOM) enquanto dados internos da requisição ainda estão parcialmente inicializados, a limpeza da requisição trata dados inválidos como válidos.
- CVE-2026-109619: estado global de uma requisição sobrevive à liberação da memória e pode ser usado por uma requisição posterior no mesmo worker, antes da reinicialização.
- Atingem todas as instalações que atendem requisições web: PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. Segundo o PHP Group, o risco é maior no mod_php, onde já há exploração demonstrada sem autenticação.
- Os ramos 8.1 e anteriores não recebem mais atualizações do projeto, e o PHP 8.2 chega ao fim de vida em 31 de dezembro de 2026.

O PHP Group avisou em 20 de outubro que publicaria as correções às 14h UTC de 21 de outubro, e reservou o direito de antecipar a liberação se detalhes das falhas se tornassem públicos ou houvesse exploração ativa.

Para quem não pode atualizar de imediato, o projeto recomenda memory_limit=-1 fora do alcance da aplicação, post_max_size de 8M (ou 32M, se houver uploads) e session.upload_progress.enabled=0, com reinício de todos os workers. Esses ajustes reduzem a exposição sem tornar a instalação segura, e bloqueiam apenas os caminhos já confirmados; o PHP Group desaconselha RLIMIT_AS e RLIMIT_DATA, que podem disparar a falha de alocação vulnerável.

Para os ramos 7.4, 8.0 e 8.1, o PHP Group publicou backports mínimos do código-fonte, e fornecedores LTS e distribuições receberam as correções antecipadamente.

## Fontes

- [A critical coding language vulnerability is taking websites offline over hack fears](https://globalnews.ca/news/12110881/government-sites-go-dark-vuln-in-code/) — Global News (2026-10-21)
- [Critical PHP Security Flaws Leak, Triggering Emergency Patch Warning for Millions of Website — Apply Emergency Patch Today](https://techstartups.com/2026/10/21/two-critical-php-security-flaws-leak-triggering-emergency-patch-warning-for-millions-of-website-apply-emergency-patch-today/) (2026-10-21)

---

Publicado por Daily Journal. Versão HTML: https://dailyjournal.news/news/2026-10-21/falhas-criticas-no-php-vazam-e-exigem-atualizacao-emergencial-de-sites