Duas falhas críticas do PHP são corrigidas e primeiros ataques são registrados

Os desenvolvedores do PHP lançaram, em caráter de urgência, correções para duas vulnerabilidades críticas, avaliadas em 9,2 de 10 cada uma. Essas falhas permitem que invasores executem código arbitrário remotamente em um servidor, sem qualquer autenticação. A Cloudflare já identificou as primeiras tentativas de exploração.

As atualizações foram publicadas em 21 de outubro: são as versões PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. A série 8.1 e as anteriores não recebem mais o suporte padrão do projeto, mas foram disponibilizadas correções separadas do código-fonte para as versões 7.4, 8.0 e 8.1. Alguns fornecedores de software para servidores também oferecem atualizações de segurança próprias.

A primeira vulnerabilidade, CVE-2026-109618, decorre de corrupção de memória em situações de esgotamento dos recursos. A segunda, CVE-2026-109619, permite acessar uma área de memória liberada após o processamento da requisição anterior. Ambos os erros podem resultar na execução de código com os privilégios do processo PHP e no comprometimento dos dados hospedados no servidor.

Segundo os desenvolvedores, o maior risco recai sobre servidores Apache com o módulo mod_php. O ataque é possível sem autenticação e exige apenas uma requisição; o código malicioso pode, inclusive, ser executado antes mesmo da inicialização do próprio site.

A dimensão da ameaça é significativa: de acordo com a W3Techs, o PHP é utilizado em 69,3% dos sites cuja linguagem de servidor foi possível determinar. Entre eles estão WordPress, Drupal, Joomla e Magento. Como as vulnerabilidades estão no próprio PHP, atualizar o sistema de gerenciamento de conteúdo não elimina o problema.

As informações sobre as falhas tornaram-se públicas antes da data de divulgação prevista. A Cloudflare implementou regras de proteção adicionais, mas ressaltou que elas não substituem a instalação das correções do PHP.

Recomenda-se que os administradores atualizem o PHP imediatamente. Caso isso não seja possível, o CERT-EU aconselha isolar temporariamente da internet os aplicativos vulneráveis. Medidas de proteção adicionais podem reduzir o risco de ataques específicos, mas não garantem a segurança do servidor.