PHP LIBERA CORREÇÕES EMERGENCIAIS PARA DUAS FALHAS CRÍTICAS

O projeto PHP lançou nesta quarta-feira, 21 de outubro, atualizações emergenciais para corrigir duas vulnerabilidades críticas que podem permitir a execução remota de código sem autenticação. Os responsáveis pela linguagem pediram que administradores atualizem imediatamente as instalações utilizadas para atender requisições de sites.

As correções estão nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Os problemas são identificados como CVE-2026-109618 e CVE-2026-109619 e receberam classificação de gravidade 9,2 na escala CVSS 4.0.

O CERT-EU confirmou a disponibilidade dos pacotes e alertou que detalhes técnicos e demonstrações de exploração começaram a circular publicamente. A divulgação aumenta a urgência de corrigir os sistemas expostos.

Conhecidas como PHP2Shell, as falhas atingem a camada que executa o PHP no servidor. Segundo a Sansec, a correção precisa ser aplicada nessa infraestrutura; alterar apenas o código de uma loja virtual não resolve o problema. Quem utiliza hospedagem terceirizada deve confirmar a atualização com o provedor.

O comunicado oficial inclui entre os ambientes em risco PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O projeto considera o risco especialmente elevado no mod_php, para o qual há uma demonstração de ataque antes da execução do código da aplicação.

A Sansec relatou que a Cloudflare havia identificado tentativas iniciais de ataque antes da publicação das correções. Esse registro não demonstra, por si só, que todos os sites vulneráveis foram invadidos ou que houve comprometimento generalizado.

Para organizações sem condições de atualizar imediatamente, o CERT-EU orienta considerar o isolamento das aplicações acessíveis pela internet até que a correção seja aplicada e verificada. O PHP ressalta que medidas temporárias reduzem determinados caminhos de ataque, mas não substituem a atualização.

Instalações antigas também exigem atenção. O projeto informa que PHP 8.1 e anteriores não recebem mais atualizações regulares e recomenda consultar fornecedores sobre correções adaptadas ou migrar para uma versão com suporte.

Fontes consultadas: Projeto PHP; CERT-EU; Sansec. Comunicados de 21/10/2026.