Nos EUA, CISA inclui duas falhas críticas do PHP no catálogo de exploradas
Nos EUA, a CISA incluiu duas falhas do PHP no catálogo de vulnerabilidades exploradas, sem fixar prazo para corrigi-las, e lembra que agências civis federais devem priorizar falhas desse catálogo em ativos expostos.
Pontos principais
- A CISA incluiu no catálogo KEV as falhas CVE-2026-109618 e CVE-2026-109619 e atualizou o alerta “Critical Vulnerabilities in PHP Require Immediate Patching”.
- A agência diz que a inclusão no KEV exige evidência de exploração e que esse tipo de falha é “um vetor de ataque frequente”.
- A BOD 26-04 da CISA obriga agências civis federais (FCEB) a priorizar a correção rápida de falhas do KEV em ativos expostos que permitam controle total após exploração.
- Para as demais organizações, a CISA apenas encoraja gestão de vulnerabilidades baseada em risco.
- A CISA não fixa prazo para as duas falhas e não descreve como foram exploradas.
Nos Estados Unidos, a CISA incluiu no catálogo KEV (Known Exploited Vulnerabilities) duas falhas do PHP: CVE-2026-109618, intitulada “PHP Memory Corruption Vulnerability”, e CVE-2026-109619, intitulada “PHP Stale Internal Request-State Vulnerability”. A agência afirma que a inclusão no catálogo exige evidência de exploração e que esse tipo de falha é “um vetor de ataque frequente” de atores maliciosos.
A CISA cita a Diretiva Operacional Vinculante BOD 26-04, que obriga agências civis federais do Poder Executivo (FCEB) a priorizar a correção rápida de falhas do catálogo em ativos expostos que permitam controle total após exploração. Para as demais organizações, a CISA apenas encoraja gestão de vulnerabilidades baseada em risco. A agência não fixa prazo para as duas falhas e não descreve como elas foram exploradas.