---
title: "PHP corrige duas falhas críticas de execução remota de código"
url: https://dailyjournal.news/news/2026-10-22/falha-critica-no-php-e-descoberta-com-auxilio-de-inteligencia-artificial
published: 2026-10-22T12:32:10.30062+00:00
updated: 2026-10-22T18:32:51.025+00:00
categories: ["technology"]
topics: ["openai"]
source_count: 2
outlet_count: 2
language: pt-BR
publisher: "Daily Journal"
---

# PHP corrige duas falhas críticas de execução remota de código

O PHP Group corrigiu duas falhas críticas que permitem execução remota de código sem autenticação e pede atualização imediata de todas as instalações web da linguagem.

## Pontos principais

- O PHP Group corrige duas vulnerabilidades críticas, CVE-2026-109618 e CVE-2026-109619, que permitem execução remota de código sem autenticação.
- Segundo o PHP Group, a CVE-2026-109618 ocorre quando a memória se esgota: a limpeza da requisição trata dados parcialmente inicializados como válidos.
- Segundo o PHP Group, a CVE-2026-109619 deixa o estado de uma requisição sobreviver à liberação da memória e ser usado pela requisição seguinte no mesmo worker.
- O PHP Group lista como afetados PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed; o mod_php tem o maior risco, com exploit demonstrado.
- Versões corrigidas: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O PHP 8.1 e anteriores não recebem mais atualizações do projeto, mas há backports mínimos para 7.4, 8.0 e 8.1.
- Mitigações como memory_limit=-1, post_max_size=8M e session.upload_progress.enabled=0 reduzem a exposição, mas não tornam a instalação segura, segundo o PHP Group.
- Segundo a OpenAI, a Calif encontrou uma das falhas com o GPT-5.6 Sol, e a Wiz descobriu e reportou as duas de forma independente.

Em 21 de outubro de 2026, o PHP Group publicou correções para duas falhas que afetam qualquer instalação do PHP que atenda requisições web, em todo o mundo. O PHP Group pede atualização imediata. Distribuições Linux e fornecedores LTS receberam os patches antecipadamente, e o PHP Group orienta a verificar com o fornecedor os pacotes já atualizados.

A OpenAI diz que liderou, ao longo de dois meses, uma coalizão de mantenedores, pesquisadores e provedores de segurança para tratar as falhas, com os mantenedores do PHP à frente das correções e da release. Segundo a empresa, IA de fronteira encontrou essas falhas antes dos atacantes, o que deu a defensores e provedores tempo para preparar correções e proteções antes da divulgação.

## Fontes

- [Black October: why bugs discovered by OpenAI tech are creating a cyber emergency](https://www.axios.com/2026/10/22/php-vulnerability-security-update-websites) — Axios (2026-10-22)
- [How did AI discover the internet's massive cyber-security risk?](https://www.bbc.co.uk/news/videos/cq0ld7e0jg2eo?at_medium=RSS&at_campaign=rss) — BBC (2026-10-22)

## Tópicos relacionados

- [OpenAI](https://dailyjournal.news/topics/openai)

---

Publicado por Daily Journal. Versão HTML: https://dailyjournal.news/news/2026-10-22/falha-critica-no-php-e-descoberta-com-auxilio-de-inteligencia-artificial