PHP corrige duas falhas críticas de execução remota; OpenAI liderou coalizão
O PHP Group corrigiu duas falhas críticas que permitem execução remota de código sem autenticação e pede atualização imediata; a OpenAI diz ter coordenado a resposta com pesquisadores e provedores de segurança.
Pontos principais
- O PHP Group corrigiu duas falhas críticas que permitem execução remota de código sem autenticação, nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
- CVE-2026-109618: quando o PHP fica sem memória, a requisição pode ser interrompida com dados internos parcialmente inicializados, e a limpeza trata esses dados como válidos.
- CVE-2026-109619: estado interno de uma requisição pode sobreviver à liberação da memória e ser usado por uma requisição posterior no mesmo worker, antes da reinicialização.
- O risco é maior no mod_php, onde uma exploração demonstrada dispara o ataque com uma requisição não autenticada, antes de qualquer código da aplicação.
- Para 7.4, 8.0 e 8.1 há backports mínimos do código-fonte; o projeto diz que o PHP 8.1 e as versões anteriores não recebem mais atualizações.
- Mitigações listadas: memory_limit=-1, post_max_size de 8M (ou 32M, se houver upload), session.upload_progress.enabled=0 e, só no PHP 8.5, fatal_error_backtraces=0.
- O PHP Group afirma que as mitigações reduzem a exposição, mas não tornam a instalação segura: só a atualização resolve.
- A Calif identificou uma das falhas com o GPT-5.6 Sol, na iniciativa Patch the Planet; a Wiz encontrou e reportou as duas de forma independente, segundo a OpenAI.
- Segundo a OpenAI, a IA de fronteira encontrou as falhas antes dos atacantes, até onde a empresa sabe.
- A OpenAI compartilha um verificador de versões do PHP e prepara uma skill do Codex para ajudar operadores a identificar versões vulneráveis.
- A OpenAI anuncia US$ 1 bilhão em acesso subsidiado ao Daybreak para organizações com poucos recursos de segurança que protegem serviços essenciais.
- A OpenAI propõe um modelo de cinco etapas para resposta coordenada a vulnerabilidades críticas e pede contribuições sobre janelas de divulgação e patches de emergência.
A OpenAI diz ter liderado por dois meses uma coalizão de mantenedores, pesquisadores e provedores de segurança para tratar duas falhas críticas no PHP, linguagem de código aberto amplamente usada em sites e aplicações web. Segundo a empresa, os mantenedores do PHP lideraram as correções e o lançamento, e a OpenAI contribuiu com pesquisa, suporte técnico e coordenação com a Wiz, a Cloudflare e outros parceiros.
O PHP Group pede atualização imediata, e a OpenAI diz que a prioridade agora é aplicar as correções. A empresa também diz ter engajado agências de segurança cibernética do governo dos EUA para que a orientação chegasse a organizações críticas, e propõe um modelo de resposta coordenada a falhas graves em software amplamente usado, pedindo contribuições da comunidade de segurança.
Fontes primárias
Patch the Planet: global response coordination as agents uncover critical vulnerabilities
Em post oficial de 21/10/2026, a OpenAI diz que liderou por dois meses uma coalizão de mantenedores, pesquisadores e provedores de segurança para tratar duas vulnerabilidades críticas no PHP, linguagem de código aberto usada em sites e aplicações web. A falha foi identificada pela Calif usando o GPT-5.6 Sol, no âmbito da iniciativa Patch the Planet; a Wiz encontrou e reportou as duas de forma independente. Os mantenedores do PHP lideraram as correções e o lançamento; a OpenAI diz ter contribuído com pesquisa, suporte técnico e coordenação com Wiz, Cloudflare e outros parceiros, incluindo o engajamento de agências do governo dos EUA (ONCD, CISA) e de parceiros internacionais. A empresa afirma que, até onde sabe, a IA de fronteira encontrou as falhas antes dos atacantes, e que é 'uma das questões de segurança de maior impacto em memória recente'. Anuncia US$ 1 bilhão em acesso subsidiado ao Daybreak para defensores com recursos limitados, um verificador de versões do PHP e uma skill do Codex a caminho. Propõe um framework de cinco etapas para resposta coordenada a vulnerabilidades críticas em software amplamente usado e pede contribuições da comunidade sobre janelas de divulgação e patches de emergência.
Security advisory: Critical remote code execution vulnerabilities, update now
PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 corrigem duas vulnerabilidades críticas que permitem execução remota de código sem autenticação; atualização imediata é recomendada a todos os usuários. CVE-2026-109618 (RCE via corrupção por falta de memória): quando o PHP fica sem memória, a requisição pode ser interrompida com dados internos parcialmente inicializados, e a limpeza da requisição trata esses dados inválidos como válidos. CVE-2026-109619 (RCE via estado global obsoleto): estado interno de uma requisição pode sobreviver após sua memória ser liberada, e uma requisição posterior no mesmo worker pode usá-lo antes da reinicialização. O risco é maior no mod_php, com exploit demonstrado em que uma requisição não autenticada dispara o ataque antes de qualquer código da aplicação. Distribuições e fornecedores LTS receberam os patches antecipadamente; PHP 8.1 e versões anteriores não recebem mais atualizações do projeto. Para quem não pode atualizar de imediato, o aviso lista mitigações (memory_limit=-1, post_max_size reduzido, session.upload_progress.enabled=0), que reduzem a exposição mas não tornam a instalação segura. O aviso não lista faixas de versões afetadas nem créditos de quem reportou; isso estaria nos advisories GHSA-w8hw-w9fx-j79w e GHSA-6wmf-4rv5-p3rp.
Tópicos relacionados
Cobertura da mídia
Patch the Planet: global response coordination as agents uncover critical vulnerabilities
OpenAI Blog • 21 out, 04:00
@gdb: Over the past two months, we have been leading a coalition to mitigate one of the most severe bugs in open source software found in recent memory, php2shell, found as part of our P…
x.com • 21 out, 11:58