---
title: "PHP corrige duas falhas críticas de execução remota sem autenticação"
url: https://dailyjournal.news/news/2026-10-21/vulnerabilidade-php2shell-afeta-70-dos-sites-na-internet
published: 2026-10-21T14:45:30.681346+00:00
updated: 2026-10-21T15:03:04.511+00:00
categories: ["technology"]
topics: ["openai"]
source_count: 2
outlet_count: 1
language: pt-BR
publisher: "Daily Journal"
---

# PHP corrige duas falhas críticas de execução remota sem autenticação

O PHP Group lançou versões corrigidas de duas falhas críticas que permitem executar código remotamente, sem autenticação, em qualquer instalação PHP que atende requisições web, e recomenda atualizar imediatamente.

## Pontos principais

- As versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, publicadas pelo PHP Group em 21 de outubro de 2026, corrigem as duas falhas.
- CVE-2026-109618: quando a memória se esgota, uma requisição pode ser interrompida com dados internos parcialmente inicializados, e a limpeza posterior trata esses dados inválidos como válidos.
- CVE-2026-109619: estado de uma requisição pode sobreviver à liberação da memória de apoio e ser usado pela requisição seguinte atendida pelo mesmo worker.
- As falhas afetam PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
- As mitigações citadas são memory_limit=-1, post_max_size baixo e session.upload_progress.enabled=0, e cada uma cobre apenas um caminho de ataque.
- Distribuições e fornecedores LTS receberam os patches antecipadamente; o PHP 8.1 e versões anteriores não recebem mais atualizações do projeto.
- O PHP 8.2 deixa de receber correções de segurança em 31 de dezembro de 2026.

O PHP Group publicou correções para duas falhas críticas que permitem executar código remotamente, sem autenticação, em qualquer instalação PHP que atende requisições web. Segundo o projeto, o maior risco está no mod_php, onde já há exploit demonstrado em que a requisição age antes de qualquer código da aplicação.

Só a atualização é correção completa; as medidas de mitigação reduzem a exposição, mas não tornam a instalação segura. O aviso não afirma que as falhas estejam sendo exploradas.

## Fontes

- [OpenAI says the PHP flaws, found using GPT-5.6 Sol, "are among several significant vulnerabilities" it found and expects "similar findings to increase sharply" (OpenAI)](https://www.techmeme.com/261021/p34#a261021p34) — Techmeme (2026-10-21)
- [PHP discloses a critical memory-management vulnerability, dubbed "PHP2Shell", that affects up to 70% of websites, discovered using GPT-5.6 Sol in August (Robert McMillan/Wall Street Journal)](https://www.techmeme.com/261021/p30#a261021p30) — Techmeme (2026-10-21)

## Tópicos relacionados

- [OpenAI](https://dailyjournal.news/topics/openai)

---

Publicado por Daily Journal. Versão HTML: https://dailyjournal.news/news/2026-10-21/vulnerabilidade-php2shell-afeta-70-dos-sites-na-internet