Michael JohnsonEm 21 de outubro de 2026, o PHP anunciou duas vulnerabilidades críticas que podem permitir a execução remota de código sem autenticação. No mesmo dia, o projeto lançou correções para os ramos 8.5, 8.4, 8.3 e 8.2 e recomendou que os usuários atualizassem sem demora. Instalações que atendem a solicitações web podem estar vulneráveis, incluindo PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed, informa o PHP.
As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. As versões corrigem a CVE-2026-109618, relacionada à corrupção do estado em situações de falta de memória, e a CVE-2026-109619 — uma falha que poderia fazer com que o estado de uma solicitação persistisse no processo de trabalho e fosse usado ao processar a seguinte. Versões anteriores às listadas são afetadas; o projeto já não lança atualizações próprias para o PHP 8.1 e ramos anteriores. Administradores desses sistemas devem verificar se há correções fornecidas pela distribuição ou pelo provedor de suporte LTS.
Duas falhas no ciclo de vida de uma solicitação web
No caso da CVE-2026-109618, o processamento de uma solicitação pode ser interrompido por falta de memória antes que os dados internos tenham sido totalmente inicializados. Ao encerrar, o PHP pode então acessar um estado inválido. No aviso de segurança, os desenvolvedores descrevem, entre outros casos, cenários com solicitações multipart e esgotamento do limite de memória. Para o Apache mod_php, foi confirmado um cenário em que o problema ocorre antes mesmo da execução do código da aplicação; o PHP também observa que o risco é maior nessa configuração.
A CVE-2026-109619 afeta o estado que o processo de trabalho mantém entre solicitações. Se uma operação falhar antes da limpeza dos dados, a memória da solicitação anterior é liberada, mas a referência a ela permanece. A solicitação seguinte, se atendida pelo mesmo processo, pode acessar o estado obsoleto antes da inicialização normal. No aviso de segurança do projeto, o PHP descreve caminhos confirmados envolvendo operações de diagnóstico antecipadas e o processamento do progresso do envio de arquivos; a aplicabilidade de cada caminho depende da configuração, da aplicação e das extensões utilizadas.
As duas vulnerabilidades receberam pontuação 9,2 no CVSS 4.0. Segundo o PHP, o impacto confirmado inclui a execução de código com os privilégios do processo de trabalho web. No aviso de segurança sobre a falha de falta de memória, foi confirmado um cenário HTTP completo contra o mod_php; para PHP-FPM, a fonte descreve a análise do código e as condições de suscetibilidade. É importante distinguir esses dados ao avaliar uma implantação específica.
O que os administradores devem verificar
Primeiro, identifique as versões do PHP que realmente atendem ao tráfego web: um mesmo servidor pode ter compilações distintas para CLI, FPM e Apache, enquanto contêineres e nós de cluster são atualizados de forma independente. Em cada ramo com suporte, instale a versão corrigida correspondente ou um pacote do fornecedor com o patch confirmado. Em seguida, reinicie todos os processos de trabalho do PHP e verifique a versão após a reinicialização — substituir os arquivos sem reiniciar deixa os processos antigos em execução.
Para o PHP 8.1 e versões anteriores, verifique o status do suporte e a disponibilidade de uma correção retroportada pela distribuição ou pelo provedor de LTS. Se não houver pacote, planeje a migração para um ramo com suporte. O PHP informa que os fornecedores de distribuições Linux receberam os patches com antecedência; o número da versão do pacote pode diferir do lançamento oficial do PHP, portanto, confira especificamente as informações sobre a inclusão da correção.
Configurações temporárias e filtragem de solicitações podem reduzir alguns vetores de ataque, mas o projeto afirma que a atualização é a única forma completa de eliminar os dois problemas. A prioridade prática para as equipes é inventariar todos os processos de trabalho web, instalar o pacote corrigido, reiniciar os processos e verificar o resultado em cada nó. Isso corrige as vulnerabilidades confirmadas, em vez de depender apenas da configuração do servidor web.