Duas vulnerabilidades críticas no PHP podem permitir a execução remota de código em servidores, sem autenticação. Identificadas como CVE-2026-109618 e CVE-2026-109619, elas receberam nota 9,2 na escala CVSS. O projeto PHP recomendou a instalação imediata das correções.
As correções foram lançadas para as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Administradores também devem verificar os pacotes fornecidos por distribuições Linux e provedores de suporte de longo prazo, que podem disponibilizar correções em versões próprias.
O que as falhas permitem
A CVE-2026-109618 está relacionada ao tratamento de falta de memória. A CVE-2026-109619 envolve um estado interno que pode continuar apontando para uma área de memória já liberada, condição conhecida como use-after-free. Em determinadas circunstâncias, as duas falhas podem levar à execução remota de código.
O risco não está restrito a um sistema de gerenciamento de conteúdo. O PHP roda no servidor, e a exposição depende da versão e da configuração do ambiente. Segundo o projeto PHP, instalações com Apache mod_php estão entre as mais arriscadas. Serviços PHP-FPM e outras configurações também podem ser afetados.
A Orange suspendeu preventivamente o acesso a alguns sites e aplicativos enquanto aplicava as correções e fazia verificações, segundo a cobertura do TechRadar. A empresa não divulgou uma lista completa dos serviços afetados. A suspensão, por si só, não confirma que houve invasão.
Quem precisa atualizar
Administradores devem identificar a versão do PHP em execução nos servidores e instalar o pacote corrigido correspondente. Em hospedagens gerenciadas, o cliente deve confirmar com o provedor se a atualização já foi aplicada. Atualizar apenas o WordPress ou outro sistema de gerenciamento de conteúdo não necessariamente atualiza o PHP do servidor.
As versões PHP 8.1 e anteriores estão fora do suporte regular do projeto. Administradores devem consultar o fornecedor sobre correções retroportadas ou planejar a migração para uma versão mantida. A equipe do PHP também publicou correções de código-fonte limitadas para alguns ramos antigos. A disponibilidade depende do método de instalação e do fornecedor.
O CERT-EU recomenda corrigir os sistemas afetados com urgência. Se não for possível instalar a atualização de imediato, organizações devem considerar restringir ou isolar temporariamente os serviços expostos à internet e seguir as orientações do fornecedor. Essas medidas reduzem alguns caminhos de ataque, mas não substituem a correção.
O próximo passo é inventariar os ambientes PHP, priorizar os servidores acessíveis pela internet e conferir a versão ativa depois da atualização. Se houver sinais suspeitos ou exposição prolongada, também é prudente revisar os registros e seguir o processo de resposta a incidentes da organização.
O Tambotech já abordou um problema de segurança em outro componente de sites: a vulnerabilidade wp2shell no WordPress.
