--- title: "PHP lança correções de emergência para falhas críticas de execução remota" url: https://dailyjournal.news/news/2026-10-21/php-lanca-correcoes-para-duas-vulnerabilidades-criticas-de-rce published: 2026-10-21T14:45:34.959108+00:00 updated: 2026-10-21T17:32:04.652+00:00 categories: ["technology"] source_count: 11 outlet_count: 2 language: pt-BR publisher: "Daily Journal" --- # PHP lança correções de emergência para falhas críticas de execução remota O projeto PHP disponibilizou atualizações de segurança para corrigir duas vulnerabilidades críticas de execução remota de código que afetam servidores web. ## Pontos principais - As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 permitem a execução remota de código sem autenticação. - As correções foram disponibilizadas nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. - O projeto PHP recomenda a atualização imediata de todas as implantações de servidores web. - As falhas afetam ambientes como PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. - A gravidade das vulnerabilidades foi classificada com nota 9,2 na escala CVSS v4. - O lançamento das correções foi antecipado em um dia após o vazamento dos identificadores CVE. - Governos da Holanda e da Finlândia retiraram serviços do ar preventivamente devido ao risco de ataques. - A empresa Wiz reportou que modelos de IA foram utilizados na identificação e validação das falhas. - A Cloudflare relatou a interceptação de tentativas de exploração das vulnerabilidades em sua rede. O projeto PHP emitiu um alerta de segurança urgente após a descoberta de duas vulnerabilidades críticas de execução remota de código (RCE), identificadas como CVE-2026-109618 e CVE-2026-109619. As falhas permitem que invasores executem comandos arbitrários em servidores web sem a necessidade de autenticação, representando um risco elevado para a infraestrutura digital global. Segundo a equipe de desenvolvimento, a vulnerabilidade é particularmente perigosa em configurações que utilizam o módulo mod_php, onde o ataque pode ser disparado antes mesmo da execução do código da aplicação. Para mitigar os riscos, foram liberadas as versões corrigidas 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A recomendação oficial é que administradores de sistemas realizem a atualização imediata de seus ambientes, visto que todas as implantações que processam requisições web, incluindo PHP-FPM, Apache, php-cgi, FrankenPHP e LiteSpeed, estão potencialmente expostas. A PHP Foundation esclareceu que as correções oficiais são limitadas às versões 8.2 e superiores, deixando instalações legadas dependentes de suporte de terceiros. O processo de divulgação das correções foi acelerado após o vazamento dos identificadores das vulnerabilidades em fóruns online no dia 20 de outubro. A antecipação do lançamento visou reduzir a janela de oportunidade para agentes maliciosos explorarem as falhas antes que os administradores pudessem aplicar os patches. A empresa de segurança Wiz, que descobriu as falhas de forma independente, destacou que o uso de modelos de inteligência artificial foi fundamental para identificar a cadeia de exploração e validar as correções. O impacto das vulnerabilidades gerou uma resposta preventiva em diversos setores. Governos da Holanda e da Finlândia suspenderam temporariamente o acesso a serviços públicos essenciais como medida de precaução contra possíveis ataques. Além disso, instituições de ensino e hospitais na Europa também optaram por retirar sites do ar enquanto realizavam os procedimentos de atualização. A Cloudflare informou ter detectado tentativas de exploração e implementado regras de firewall para proteger seus clientes enquanto os patches eram aplicados em larga escala. Especialistas em segurança cibernética reforçam que, embora não haja confirmação de ataques em massa bem-sucedidos, a natureza crítica das falhas exige atenção imediata. A nota 9,2 atribuída na escala CVSS v4 reflete a gravidade do problema, que pode comprometer o controle total de servidores. A recomendação permanece sendo a aplicação dos patches oficiais o mais rápido possível para garantir a integridade dos dados e a continuidade dos serviços online. ## Fontes - [The PHP Foundation says its RCE patches are limited to PHP 8.2 and newer, leaving legacy deployments dependent on third-party vendors (Wired)](https://www.techmeme.com/261021/p40#a261021p40) — Techmeme (2026-10-21) - [Falha crítica no PHP paralisa governos e exige atualização urgente](https://www.estadao.com.br/tecmundo/ciberseguranca/falha-critica-no-php-paralisa-governos-e-exige-atualizacao-urgente/) (2026-10-21) - [GPT-5.6 Sol foi usado para identificar falha crítica no PHP](https://www.theverge.com/tech/1015481/gpt-5-6-sol-was-used-to-identify-critical-php-flaw) (2026-10-21) - [PHP2Shell: o que se sabe sobre as vulnerabilidades críticas vazadas do PHP](https://blog.checkpoint.com/security/php2shell-what-we-know-about-the-leaked-critical-php-vulnerabilities-cve-2026-109618-cve-2026-109619/) (2026-10-21) - [PHP corre para lançar correções emergenciais para dois bugs críticos encontrados por IA](https://thenextweb.com/news/php2shell-php-rce-ai-openai-wiz) (2026-10-21) - [PHP2Shell: IA descobre vulnerabilidades críticas de RCE que afetam 70% da internet](https://www.wiz.io/blog/php2shell-php-rce) (2026-10-21) - [The PHP Foundation details how it found and fixed the two flaws, and says it had to release patches a day early after the CVE IDs began circulating online (The PHP Foundation)](https://www.techmeme.com/261021/p37#a261021p37) — Techmeme (2026-10-21) - [PHP: falha em uma linguagem de programação ameaça tirar sites do ar; entenda](https://www.infomoney.com.br/mundo/php-falha-ameaca-tirar-sites-ar/) — InfoMoney (2026-10-21) - [Several government, school, and hospital websites in Europe were taken offline as organizations rush to protect themselves from two critical PHP security flaws (Reuters)](https://www.techmeme.com/261021/p36#a261021p36) — Techmeme (2026-10-21) - [Alerta mundial: falhas no PHP colocam milhões de sites em risco](https://canaltech.com.br/seguranca/alerta-mundial-falhas-no-php-colocam-milhoes-de-sites-em-risco/) (2026-10-21) - [PHP releases security fixes for two critical unauthenticated RCE vulnerabilities, urging all PHP users to update; all web-serving deployments are affected (PHP)](https://www.techmeme.com/261021/p29#a261021p29) — Techmeme (2026-10-21) --- Publicado por Daily Journal. Versão HTML: https://dailyjournal.news/news/2026-10-21/php-lanca-correcoes-para-duas-vulnerabilidades-criticas-de-rce