Falhas críticas no PHP permitem execução remota de código sem autenticação
O PHP Group corrigiu em 21 de outubro duas falhas críticas de execução remota sem autenticação e diz que só a atualização protege por completo.
Pontos principais
- Duas falhas, CVE-2026-109618 e CVE-2026-109619, permitem execução remota de código sem autenticação; o PHP Group as classifica com CVSS v4.0 9,2.
- Correções nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, publicadas em 21 de outubro.
- Atingem PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed, com risco maior no mod_php, segundo o PHP Group.
- Versões 8.1 e anteriores não recebem mais atualizações do PHP Group; 7.4, 8.0 e 8.1 receberam correções mínimas em código-fonte.
- Segundo o PHP Group, memory_limit=-1, post_max_size baixo e session.upload_progress.enabled=0 reduzem a exposição, mas não tornam a instalação segura.
- A Wiz reportou as falhas ao PHP em 24 de agosto; correção e divulgação pública vieram em 21 de outubro.
- A Wiz não relata exploração confirmada em ataques reais.
Segundo a Wiz Research, modelos de inteligência artificial ajudaram a encontrar as falhas e reduziram a barreira para transformá-las em exploits funcionais, que a empresa diz ter montado em horas. A Wiz afirma que o PHP sustenta 70% dos sites do mundo, mas não informa quantos deles estão vulneráveis.
O PHP Group publicou as correções em 21 de outubro e afirma que só a atualização resolve o problema por completo. Segundo a Wiz, a execução remota foi demonstrada contra WordPress, Drupal e Joomla, com as imagens de contêiner mais recentes à época dos testes. A empresa diz também que as falhas permitem vazar memória do processo, o que pode expor senhas, tokens e chaves de API, sem execução de código.
Fontes primárias
Security advisory: Critical remote code execution vulnerabilities, update now
Aviso de segurança de 21/10/2026: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 corrigem duas vulnerabilidades críticas que permitem execução remota de código sem autenticação, ambas com CVSS v4.0 9.2 (pré-anúncio de 20/10). Atinge toda instalação que atende requisições web (PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP, LiteSpeed), com risco maior no mod_php. CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): uma interrupção por falta de memória deixa dados internos da requisição parcialmente inicializados, que a limpeza trata como válidos. CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): estado global da requisição sobrevive após a memória ser liberada e pode ser usado por uma requisição posterior no mesmo worker. O projeto diz que só a atualização é solução completa; memory_limit=-1, post_max_size baixo, session.upload_progress.enabled=0 e fatal_error_backtraces=0 (PHP 8.5) reduzem exposição, mas não tornam a instalação segura. PHP 8.1 e anteriores não recebem mais atualizações do projeto; 7.4, 8.0 e 8.1 receberam backports de código-fonte.
PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
Pesquisa da Wiz publicada em 21/10/2026, que descreve as falhas como PHP2Shell. A Wiz afirma que o PHP, que alimenta 70% dos sites do mundo, tem falhas que afetam quase todas as versões desde a 5.4, e que elas permitem RCE sem autenticação contra WordPress, Drupal e Joomla e vazamento de memória do processo (senhas, tokens e chaves de API) sem RCE. Segundo a empresa, modelos de IA de fronteira reduziram a barreira para transformar as falhas em exploit funcional, que ela diz ter montado em horas. Agradece à equipe do PHP, à Calif e à OpenAI pela descoberta, coordenação e verificação do patch. Cronologia: reporte ao PHP em 24/08/2026, correção e divulgação pública em 21/10/2026. A cifra de 70% é estimativa da própria Wiz, não verificada de forma independente no artigo.