Fundação PHP lança correções para falhas críticas de execução remota

Security advisory: Critical remote code execution vulnerabilities, update now

Os PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 corrigem duas vulnerabilidades críticas que podem permitir execução remota de código (RCE) sem autenticação, em todas as instalações que servem requisições web (PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed); o risco é maior no mod_php, com exploit demonstrado em que a requisição dispara o ataque antes de qualquer código da aplicação. CVE-2026-109618 (RCE por corrupção em caso de falta de memória): quando a memória se esgota, o processo pode ser interrompido com dados internos da requisição apenas parcialmente inicializados, e a limpeza da requisição trata esses dados inválidos como válidos. CVE-2026-109619 (RCE por estado global obsoleto): estado interno da requisição pode sobreviver após a memória que o sustenta ser liberada, e uma requisição posterior no mesmo worker pode usá-lo antes da reinicialização. O projeto afirma que apenas a atualização é solução completa; medidas paliativas (memory_limit=-1, post_max_size baixo, session.upload_progress.enabled=0, fatal_error_backtraces=0 no PHP 8.5) reduzem a exposição sem tornar a instalação segura. Distribuições e fornecedores LTS receberam os patches antecipadamente. PHP 8.1 e anteriores não recebem mais atualizações do projeto.