PHP corrige duas falhas críticas de execução remota de código
O PHP Group corrigiu duas falhas críticas que permitem execução remota de código sem autenticação e pede atualização imediata de todas as instalações web da linguagem.
Pontos principais
- O PHP Group corrige duas vulnerabilidades críticas, CVE-2026-109618 e CVE-2026-109619, que permitem execução remota de código sem autenticação.
- Segundo o PHP Group, a CVE-2026-109618 ocorre quando a memória se esgota: a limpeza da requisição trata dados parcialmente inicializados como válidos.
- Segundo o PHP Group, a CVE-2026-109619 deixa o estado de uma requisição sobreviver à liberação da memória e ser usado pela requisição seguinte no mesmo worker.
- O PHP Group lista como afetados PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed; o mod_php tem o maior risco, com exploit demonstrado.
- Versões corrigidas: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O PHP 8.1 e anteriores não recebem mais atualizações do projeto, mas há backports mínimos para 7.4, 8.0 e 8.1.
- Mitigações como memory_limit=-1, post_max_size=8M e session.upload_progress.enabled=0 reduzem a exposição, mas não tornam a instalação segura, segundo o PHP Group.
- Segundo a OpenAI, a Calif encontrou uma das falhas com o GPT-5.6 Sol, e a Wiz descobriu e reportou as duas de forma independente.
Em 21 de outubro de 2026, o PHP Group publicou correções para duas falhas que afetam qualquer instalação do PHP que atenda requisições web, em todo o mundo. O PHP Group pede atualização imediata. Distribuições Linux e fornecedores LTS receberam os patches antecipadamente, e o PHP Group orienta a verificar com o fornecedor os pacotes já atualizados.
A OpenAI diz que liderou, ao longo de dois meses, uma coalizão de mantenedores, pesquisadores e provedores de segurança para tratar as falhas, com os mantenedores do PHP à frente das correções e da release. Segundo a empresa, IA de fronteira encontrou essas falhas antes dos atacantes, o que deu a defensores e provedores tempo para preparar correções e proteções antes da divulgação.
Fontes primárias
Security advisory: Critical remote code execution vulnerabilities, update now
PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 corrigem duas vulnerabilidades críticas que permitem execução remota de código sem autenticação. CVE-2026-109618: quando a memória se esgota (OOM), o PHP é interrompido com dados da requisição só parcialmente inicializados, e a limpeza da requisição trata esses dados inválidos como válidos. CVE-2026-109619: estado da requisição sobrevive depois que sua memória é liberada e pode ser usado pela requisição seguinte no mesmo worker, antes da reinicialização. Afeta todas as instalações que atendem requisições web (PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP, LiteSpeed); o risco é maior no mod_php, com exploit demonstrado. O PHP Group pede atualização imediata; distribuições Linux e fornecedores LTS receberam os patches antecipadamente. PHP 8.1 e anteriores deixam de receber atualizações do projeto, mas há backports mínimos para 7.4, 8.0 e 8.1. Mitigações paliativas (memory_limit=-1 em configuração não sobrescrevível, post_max_size=8M, session.upload_progress.enabled=0) não tornam a instalação segura, segundo o aviso.
Patch the Planet: global response coordination as agents uncover critical vulnerabilities
A OpenAI diz ter liderado, ao longo de dois meses, uma coalizão de mantenedores, pesquisadores e provedores de segurança para tratar as vulnerabilidades do PHP. Segundo o texto, a Calif identificou uma falha crítica usando o GPT-5.6 Sol, no âmbito da iniciativa Patch the Planet, e a Wiz descobriu e reportou as duas vulnerabilidades de forma independente. Os mantenedores do PHP lideraram as correções e a release. A empresa afirma que, até onde sabe, IA de fronteira encontrou essas falhas antes dos atacantes. Recomenda aplicar as correções e publicou um verificador de versões do PHP como skill do Codex. Anuncia também US$ 1 bilhão em acesso subsidiado ao Daybreak para defensores.