Imagem: Reprodução / PHP.net; composição gráfica da redação.
Correções foram lançadas para quatro versões da linguagem. Problemas atingem o processamento de requisições e podem expor dados de aplicações.
Duas falhas críticas no PHP levaram os responsáveis pela linguagem a publicar atualizações de segurança e recomendar sua aplicação imediata. As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, podem permitir que um invasor execute código em servidores sem precisar se autenticar.
As correções foram anunciadas em 21 de outubro nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O PHP é utilizado no processamento de aplicações web, e a atualização precisa ser feita no ambiente que executa a linguagem.
O que as falhas críticas no PHP permitem
De acordo com a PHP Foundation, os problemas envolvem o gerenciamento de memória e o tratamento de erros durante as requisições. Em determinadas condições, dados internos podem permanecer em estado inválido e ser utilizados posteriormente pelo processo.
A fundação informou que demonstrou execução remota de código em cenários com Apache e mod_php. Também houve confirmação de um caminho de execução no PHP-FPM relacionado ao código da aplicação.
Na prática, executar código no servidor pode abrir caminho para acesso indevido a informações, alterações no funcionamento de aplicações ou interrupção do serviço. O impacto depende do ambiente e das permissões disponíveis ao processo comprometido.
Quais versões receberam correção
O CERT-EU, equipe de resposta a incidentes das instituições europeias, recomenda atualizar as instalações afetadas para as versões corrigidas. As duas vulnerabilidades receberam nota 9,2 no sistema CVSS, classificação considerada crítica.
Organizações que utilizam pacotes fornecidos por distribuições Linux ou empresas de suporte precisam verificar as atualizações disponibilizadas por esses fornecedores. Instalações antigas e sem suporte exigem atenção específica à migração ou às correções oferecidas pelo responsável pelo pacote.
Medidas parciais não substituem a atualização
Os avisos técnicos ressaltam que ajustes de configuração podem reduzir a exposição a alguns caminhos de ataque, mas não constituem uma solução completa. Quando a atualização imediata não for possível, o CERT-EU orienta considerar o isolamento dos recursos expostos à internet até a correção e sua verificação.
A AWS também publicou um boletim para clientes que executam versões afetadas em seus ambientes. O documento diferencia a infraestrutura dos serviços das aplicações mantidas pelos clientes e informa que a ação necessária depende da forma de hospedagem.
Para quem administra um site, a providência é confirmar com a equipe técnica ou a hospedagem qual versão corrigida está efetivamente em uso. Atualizar apenas o conteúdo da página não resolve uma falha na linguagem executada pelo servidor.
Fontes: PHP Foundation — comunicado de segurança; CERT-EU — aviso sobre as vulnerabilidades; AWS — boletim de segurança.
