A equipe do PHP publicou em 21 de outubro atualizações para corrigir duas falhas críticas no núcleo da linguagem: CVE-2026-109618 e CVE-2026-109619. Em 26 de outubro, a agência de segurança CISA, dos Estados Unidos, informou que incluiu as duas vulnerabilidades em seu catálogo de falhas conhecidas como exploradas.
Segundo o projeto PHP e a CISA, instalações vulneráveis que recebem pedidos pela internet podem permitir que um invasor execute código no servidor sem fazer login. Em linguagem simples, isso pode dar ao invasor uma forma de rodar comandos no computador que hospeda o site. A CISA destaca servidores expostos à internet e diferentes formas de executar PHP, incluindo PHP-FPM e Apache com mod_php.
As versões corrigidas indicadas pelo projeto PHP são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Quem usa PHP fornecido por uma distribuição Linux ou por um serviço de hospedagem deve confirmar com esse fornecedor qual pacote já recebeu a correção, pois alguns fornecedores aplicam os ajustes sem mudar imediatamente o número principal da versão.
O PHP 8.1 e versões anteriores não recebem correções regulares do projeto PHP. A CISA recomenda que organizações que não consigam atualizar sistemas afetados imediatamente avaliem retirá-los do ar até a aplicação de uma correção. Antes de alterar um servidor, confirme o plano com o responsável pela hospedagem e mantenha uma cópia de segurança.
Se você administra um site, pergunte à sua hospedagem qual versão do PHP está ativa e se a correção já foi aplicada. E se você precisa de ajuda para atualizar ou verificar se corre algum risco, entre contato comigo no WhatsApp (11) 969-264-607. O suporte remoto está disponível para qualquer lugar do Brasil e do mundo, basta ter acesso à Internet.
Fontes:
- Aviso de segurança do PHP: vulnerabilidades críticas de execução remota de código
- PHP 8.3.36 Released — anúncio oficial de lançamento
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching
