PHP lança correções de emergência para falhas críticas de RCE
O projeto PHP disponibilizou atualizações para corrigir duas vulnerabilidades de execução remota de código que afetam servidores web globalmente.
Pontos principais
- O PHP liberou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para mitigar falhas de segurança.
- As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 permitem execução remota de código (RCE) sem autenticação.
- O risco atinge diversas implantações, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
- A gravidade das falhas foi classificada com nota 9,2 na escala CVSS v4.
- O lançamento das correções foi antecipado em um dia após o vazamento dos IDs CVE no Hacker News.
- Governos e instituições na Europa retiraram serviços do ar preventivamente devido ao risco de exploração.
- A empresa de segurança Wiz identificou que as falhas foram descobertas com auxílio de modelos de inteligência artificial.
- A Cloudflare relatou a detecção de tentativas de exploração das vulnerabilidades em sua rede.
- Backports foram disponibilizados para as versões 7.4, 8.0 e 8.1 para usuários sem suporte de longo prazo.
O projeto PHP emitiu um alerta de segurança urgente para a correção de duas vulnerabilidades críticas de execução remota de código (RCE), identificadas como CVE-2026-109618 e CVE-2026-109619. As falhas, que possuem nota 9,2 na escala CVSS v4, permitem que invasores executem comandos em servidores web sem a necessidade de qualquer autenticação prévia. A organização recomenda que todos os administradores realizem a atualização imediata para as versões 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, visto que a vulnerabilidade compromete a integridade de diversas configurações, como PHP-FPM, Apache com mod_php e LiteSpeed.
A descoberta das falhas, que segundo a empresa de segurança Wiz foram identificadas com o auxílio de modelos de inteligência artificial, gerou uma corrida por atualizações em escala global. O lançamento dos patches foi antecipado em 24 horas pela PHP Foundation após a circulação pública dos identificadores CVE em fóruns online. Como medida preventiva, governos e instituições de saúde e educação em países como Holanda e Finlândia optaram por suspender temporariamente o acesso a serviços públicos para evitar possíveis ataques enquanto os sistemas eram protegidos.
Embora não haja confirmação de ataques em massa bem-sucedidos, a Cloudflare informou ter interceptado tentativas de exploração e implementado regras de firewall para proteger seus clientes. A equipe de desenvolvimento do PHP também disponibilizou backports para versões legadas, como 7.4, 8.0 e 8.1, visando atender usuários que não possuem suporte de longo prazo. Especialistas reforçam que, mesmo em ambientes com plugins e CMS como WordPress atualizados, a segurança do servidor permanece comprometida se a versão do interpretador PHP não for devidamente corrigida.