Na edição de 29 de outubro de 2026 do PHP Weekly, a equipe do PHP anunciou um lançamento de segurança emergencial que corrige duas vulnerabilidades críticas que permitem a execução remota de código (RCE) sem autenticação.
As falhas foram catalogadas como CVE-2026-109618 e CVE-2026-109619 e receberam pontuação CVSS 9.2, indicando risco crítico. Ambas exploram condições de memória e estado obsoleto no motor do PHP, possibilitando que um atacante envie solicitações especialmente formatadas e obtenha controle total do servidor.
Os patches foram incluídos nas versões mais recentes da linguagem:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
“Pedimos a todos os usuários que atualizem imediatamente; não existem mitigação completa disponível no momento.” – Equipe de Segurança do PHP
Até que o update seja aplicado, não há medidas paliativas eficazes além da restrição de uso das extensões afetadas e a desativação da descompressão automática no cURL. A recomendação oficial é baixar as versões corretas nos repositórios oficiais ou nos pacotes Windows e reiniciar os serviços PHP o mais rápido possível.
Fonte: PHP Weekly
