O projeto PHP publicou em 21 de outubro de 2026 correções para duas vulnerabilidades críticas, CVE-2026-109618 e CVE-2026-109619, capazes de permitir execução remota de código sem autenticação. As versões disponibilizadas pelo projeto em 21 de outubro com essas correções são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O projeto recomenda atualizar imediatamente as instalações afetadas.
O alerta abrange instalações que processam requisições web, incluindo PHP-FPM, mod_php no Apache, php-cgi, FrankenPHP e LiteSpeed. A equipe do PHP aponta risco especialmente elevado no mod_php. Isso não significa que todo sistema de um ISP utilize PHP, nem comprova invasão de uma instalação específica.
O que conferir no provedor
O primeiro passo do responsável por TI é identificar aplicações, responsáveis e fornecedores. Inclua portais, ferramentas internas e serviços terceirizados apenas quando o uso de PHP for confirmado. Para software contratado, peça evidência da correção ao fornecedor, não apenas uma resposta genérica de que o sistema está atualizado.
A versão do pacote importa
A Canonical publicou os avisos USN-8948-1 e USN-8948-2 para Ubuntu. O segundo cobre versões antigas da distribuição, com correções vinculadas ao Ubuntu Pro e, em alguns casos, ao adicional Legacy Support. Distribuições podem incorporar correções sem adotar o mesmo número da versão mais recente do projeto PHP. Compare a versão completa do pacote instalado com o aviso correspondente à distribuição; olhar apenas o número principal pode levar a uma conclusão errada.
A atualização deve seguir o procedimento do fornecedor, com proteção dos dados, teste de compatibilidade e validação dos serviços em execução. Confirme que os processos que atendem às requisições web carregaram a versão corrigida, seguindo as instruções de reinício do fornecedor. Conferir apenas o PHP de linha de comando não comprova a atualização do serviço web. Registre aplicação, versão corrigida, responsável e evidência da verificação. Confirme também o funcionamento dos fluxos comerciais e de atendimento após a intervenção.
As medidas temporárias descritas pelo PHP não substituem a atualização. Este roteiro é preventivo: não demonstra exploração ativa em provedores brasileiros nem identifica sistemas de uma empresa como vulneráveis.
