O time de segurança do PHP divulgou, em 20 de outubro de 2026, que será emitido um release crítico no dia 21 de outubro de 2026, às 14:00 UTC. O comunicado traz um aviso prévio para que toda a comunidade possa se organizar e aplicar a atualização assim que ela for disponibilizada.
O patch corrige duas vulnerabilidades classificadas como críticas, ambas com pontuação CVSS v4.0 de 9.2. Essa classificação indica risco elevado, potencialmente permitindo execução remota de código ou comprometimento de integridade de dados em ambientes PHP vulneráveis.
Até o momento, o anúncio não especifica quais versões da linguagem são afetadas nem quais serão as versões corrigidas. Essas informações serão publicadas simultaneamente ao release, juntamente com detalhes técnicos sobre as falhas e as correções aplicadas.
Enquanto isso, a recomendação principal é que administradores de sistemas e desenvolvedores preparem seus ambientes para a atualização: teste a nova versão em ambientes de staging, verifique a compatibilidade de extensões e dependências, e mantenha backups recentes. Caso sejam divulgados detalhes adicionais ou evidências de exploração ativa, o PHP pode antecipar o lançamento.
"Encorajamos todos os usuários do PHP a se prepararem agora para que possam atualizar assim que o release estiver disponível. Reservamo-nos o direito de lançar a atualização antes caso detalhes das vulnerabilidades se tornem públicos ou haja exploração em curso." – PHP Security Team
Fonte: php.net
