---
title: "PHP corrige duas falhas críticas de execução remota; OpenAI liderou coalizão"
url: https://dailyjournal.news/news/2026-10-21/openai-lidera-coalizao-para-mitigar-vulnerabilidade-php2shell
published: 2026-10-21T15:15:16.03881+00:00
updated: 2026-10-21T15:45:17.363484+00:00
categories: ["technology"]
topics: ["openai"]
source_count: 2
outlet_count: 1
language: pt-BR
publisher: "Daily Journal"
---

# PHP corrige duas falhas críticas de execução remota; OpenAI liderou coalizão

O PHP Group corrigiu duas falhas críticas que permitem execução remota de código sem autenticação e pede atualização imediata; a OpenAI diz ter coordenado a resposta com pesquisadores e provedores de segurança.

## Pontos principais

- O PHP Group corrigiu duas falhas críticas que permitem execução remota de código sem autenticação, nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
- CVE-2026-109618: quando o PHP fica sem memória, a requisição pode ser interrompida com dados internos parcialmente inicializados, e a limpeza trata esses dados como válidos.
- CVE-2026-109619: estado interno de uma requisição pode sobreviver à liberação da memória e ser usado por uma requisição posterior no mesmo worker, antes da reinicialização.
- O risco é maior no mod_php, onde uma exploração demonstrada dispara o ataque com uma requisição não autenticada, antes de qualquer código da aplicação.
- Para 7.4, 8.0 e 8.1 há backports mínimos do código-fonte; o projeto diz que o PHP 8.1 e as versões anteriores não recebem mais atualizações.
- Mitigações listadas: memory_limit=-1, post_max_size de 8M (ou 32M, se houver upload), session.upload_progress.enabled=0 e, só no PHP 8.5, fatal_error_backtraces=0.
- O PHP Group afirma que as mitigações reduzem a exposição, mas não tornam a instalação segura: só a atualização resolve.
- A Calif identificou uma das falhas com o GPT-5.6 Sol, na iniciativa Patch the Planet; a Wiz encontrou e reportou as duas de forma independente, segundo a OpenAI.
- Segundo a OpenAI, a IA de fronteira encontrou as falhas antes dos atacantes, até onde a empresa sabe.
- A OpenAI compartilha um verificador de versões do PHP e prepara uma skill do Codex para ajudar operadores a identificar versões vulneráveis.
- A OpenAI anuncia US$ 1 bilhão em acesso subsidiado ao Daybreak para organizações com poucos recursos de segurança que protegem serviços essenciais.
- A OpenAI propõe um modelo de cinco etapas para resposta coordenada a vulnerabilidades críticas e pede contribuições sobre janelas de divulgação e patches de emergência.

A OpenAI diz ter liderado por dois meses uma coalizão de mantenedores, pesquisadores e provedores de segurança para tratar duas falhas críticas no PHP, linguagem de código aberto amplamente usada em sites e aplicações web. Segundo a empresa, os mantenedores do PHP lideraram as correções e o lançamento, e a OpenAI contribuiu com pesquisa, suporte técnico e coordenação com a Wiz, a Cloudflare e outros parceiros.

O PHP Group pede atualização imediata, e a OpenAI diz que a prioridade agora é aplicar as correções. A empresa também diz ter engajado agências de segurança cibernética do governo dos EUA para que a orientação chegasse a organizações críticas, e propõe um modelo de resposta coordenada a falhas graves em software amplamente usado, pedindo contribuições da comunidade de segurança.

## Fontes

- [Patch the Planet: global response coordination as agents uncover critical vulnerabilities](https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities) — OpenAI (2026-10-21)
- [@gdb: Over the past two months, we have been leading a coalition to mitigate one of the most severe bugs in open source software found in recent memory, php2shell, found as part of our P…](https://x.com/gdb/status/2112921529650688312) (2026-10-21)

## Tópicos relacionados

- [OpenAI](https://dailyjournal.news/topics/openai)

---

Publicado por Daily Journal. Versão HTML: https://dailyjournal.news/news/2026-10-21/openai-lidera-coalizao-para-mitigar-vulnerabilidade-php2shell