Daily Journal
Daily Journal

PHP corrige duas falhas críticas de execução remota sem autenticação

O PHP Group lançou versões corrigidas de duas falhas críticas que permitem executar código remotamente, sem autenticação, em qualquer instalação PHP que atende requisições web, e recomenda atualizar imediatamente.

Daily Journal
||
21/10 às 11:45, atualizado 12:03

Pontos principais

  • As versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, publicadas pelo PHP Group em 21 de outubro de 2026, corrigem as duas falhas.
  • CVE-2026-109618: quando a memória se esgota, uma requisição pode ser interrompida com dados internos parcialmente inicializados, e a limpeza posterior trata esses dados inválidos como válidos.
  • CVE-2026-109619: estado de uma requisição pode sobreviver à liberação da memória de apoio e ser usado pela requisição seguinte atendida pelo mesmo worker.
  • As falhas afetam PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
  • As mitigações citadas são memory_limit=-1, post_max_size baixo e session.upload_progress.enabled=0, e cada uma cobre apenas um caminho de ataque.
  • Distribuições e fornecedores LTS receberam os patches antecipadamente; o PHP 8.1 e versões anteriores não recebem mais atualizações do projeto.
  • O PHP 8.2 deixa de receber correções de segurança em 31 de dezembro de 2026.

O PHP Group publicou correções para duas falhas críticas que permitem executar código remotamente, sem autenticação, em qualquer instalação PHP que atende requisições web. Segundo o projeto, o maior risco está no mod_php, onde já há exploit demonstrado em que a requisição age antes de qualquer código da aplicação.

Só a atualização é correção completa; as medidas de mitigação reduzem a exposição, mas não tornam a instalação segura. O aviso não afirma que as falhas estejam sendo exploradas.

Fonte primária

PHP Group

Security advisory: Critical remote code execution vulnerabilities, update now

PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 corrigem duas vulnerabilidades críticas que permitem execução remota de código sem autenticação em toda instalação PHP que atende requisições web (PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed), com risco maior no mod_php, onde há exploit demonstrado. CVE-2026-109618 (RCE via corrupção por falta de memória): quando a memória se esgota, o PHP pode interromper uma requisição com dados internos ainda parcialmente inicializados, e a limpeza posterior trata esses dados inválidos como válidos. CVE-2026-109619 (RCE via estado global obsoleto): estado de uma requisição pode sobreviver depois que a memória de apoio foi liberada e ser usado por uma requisição seguinte atendida pelo mesmo worker. A atualização é a única correção completa; as medidas de mitigação (memory_limit=-1, post_max_size baixo, session.upload_progress.enabled=0) reduzem a exposição, mas não tornam a instalação segura. PHP 8.1 e anteriores não recebem mais atualizações do projeto; distribuições e fornecedores LTS podem ter backports.

Tópicos relacionados

OpenAI

Cobertura da mídia

Techmeme

OpenAI says the PHP flaws, found using GPT-5.6 Sol, "are among several significant vulnerabilities" it found and expects "similar findings to increase sharply" (OpenAI)

Techmeme • 21 out, 11:31

Techmeme

PHP discloses a critical memory-management vulnerability, dubbed "PHP2Shell", that affects up to 70% of websites, discovered using GPT-5.6 Sol in August (Robert McMillan/Wall Street Journal)

Techmeme • 21 out, 11:06

Comentários