---
title: "Falhas críticas no PHP permitem execução remota de código sem autenticação"
url: https://dailyjournal.news/news/2026-10-23/vulnerabilidades-no-php-expoem-70-dos-sites-a-ataques-ciberneticos
published: 2026-10-23T10:01:17.143484+00:00
updated: 2026-10-23T19:02:40.96+00:00
categories: ["technology"]
source_count: 2
outlet_count: 2
language: pt-BR
publisher: "Daily Journal"
---

# Falhas críticas no PHP permitem execução remota de código sem autenticação

O PHP Group corrigiu em 21 de outubro duas falhas críticas de execução remota sem autenticação e diz que só a atualização protege por completo.

## Pontos principais

- Duas falhas, CVE-2026-109618 e CVE-2026-109619, permitem execução remota de código sem autenticação; o PHP Group as classifica com CVSS v4.0 9,2.
- Correções nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, publicadas em 21 de outubro.
- Atingem PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed, com risco maior no mod_php, segundo o PHP Group.
- Versões 8.1 e anteriores não recebem mais atualizações do PHP Group; 7.4, 8.0 e 8.1 receberam correções mínimas em código-fonte.
- Segundo o PHP Group, memory_limit=-1, post_max_size baixo e session.upload_progress.enabled=0 reduzem a exposição, mas não tornam a instalação segura.
- A Wiz reportou as falhas ao PHP em 24 de agosto; correção e divulgação pública vieram em 21 de outubro.
- A Wiz não relata exploração confirmada em ataques reais.

Segundo a Wiz Research, modelos de inteligência artificial ajudaram a encontrar as falhas e reduziram a barreira para transformá-las em exploits funcionais, que a empresa diz ter montado em horas. A Wiz afirma que o PHP sustenta 70% dos sites do mundo, mas não informa quantos deles estão vulneráveis.

O PHP Group publicou as correções em 21 de outubro e afirma que só a atualização resolve o problema por completo. Segundo a Wiz, a execução remota foi demonstrada contra WordPress, Drupal e Joomla, com as imagens de contêiner mais recentes à época dos testes. A empresa diz também que as falhas permitem vazar memória do processo, o que pode expor senhas, tokens e chaves de API, sem execução de código.

## Fontes

- [‘Black October’: cybersecurity experts sound the alarm over new era of AI-enabled hacking](https://www.theguardian.com/technology/2026/oct/23/cybersecurity-ai-hacking-php-vulnerability) — The Guardian (2026-10-23)
- [Hacking attempts rise after flaws found in program affecting 70 percent of websites](https://www.npr.org/2026/10/23/g-s1-149503/hacking-php-flaws) — NPR (2026-10-23)

---

Publicado por Daily Journal. Versão HTML: https://dailyjournal.news/news/2026-10-23/vulnerabilidades-no-php-expoem-70-dos-sites-a-ataques-ciberneticos