O projeto PHP lançou nesta quarta-feira, 21 de outubro de 2026, atualizações de segurança para duas vulnerabilidades críticas no interpretador da linguagem. Identificadas como CVE-2026-109618 e CVE-2026-109619, ambas receberam nota 9,2 no CVSS v4.0 e podem permitir execução remota de código sem autenticação em servidores vulneráveis.
A equipe do PHP afirma que não existem medidas de mitigação completas capazes de substituir a atualização. A ENISA e outras autoridades europeias de segurança também recomendaram a aplicação imediata das correções, com prioridade para sistemas acessíveis pela internet.
Quais versões devem ser instaladas?
As versões corrigidas disponibilizadas pelo projeto são:
- PHP 8.5.12 para quem utiliza a linha 8.5;
- PHP 8.4.27 para a linha 8.4;
- PHP 8.3.36 para a linha 8.3;
- PHP 8.2.35 para a linha 8.2.
Instalações em PHP 8.1 ou anterior, que já saíram do suporte regular, precisam migrar para versões mantidas ou obter correções específicas de fornecedores confiáveis. O CIRCL alerta que atualizar apenas o aplicativo, como WordPress, Drupal ou Joomla, não resolve uma falha presente no runtime PHP do servidor.
O que se sabe sobre as vulnerabilidades
Segundo a análise técnica publicada pelo Google Cloud, a primeira falha envolve tratamento de memória insuficiente durante a inicialização de dados de uma requisição. A segunda pode permitir o uso posterior de estado interno cuja memória já foi liberada.
A possibilidade de exploração depende da configuração e da versão utilizada, mas o risco exige atenção mesmo quando a aplicação não exibe sintomas. A classificação de gravidade não significa que todos os sites já tenham sido invadidos.
O que administradores devem fazer
Responsáveis por sites e servidores devem verificar a versão efetivamente usada pelo servidor web, consultar o provedor de hospedagem e aplicar as atualizações disponibilizadas para sua distribuição. Depois, é importante validar que o processo PHP em execução utiliza a versão corrigida.
Novo alerta de 23 de outubro: CVE-2026-115560 ainda sem correção
Em 23 de outubro, o próprio projeto PHP divulgou um aviso adicional sobre a CVE-2026-115560, um possível vetor de execução remota de código que não foi corrigido pelas atualizações emergenciais de 21 de outubro. O PHP descreve o cenário como improvável na prática, não como uma ameaça generalizada a todos os sites.
Para que o problema ocorra, é necessária uma combinação específica: a aplicação configura session.serialize_handler como php_binary ou php_serialize, muda o valor para php em tempo de execução com ini_set() antes de session_start() e mantém habilitado o acompanhamento de progresso de uploads da sessão. Aplicações que não alteram o serializador em tempo de execução não são afetadas por esse vetor, segundo o projeto.
Até a próxima versão de manutenção, a orientação oficial do PHP é configurar session.upload_progress.enabled=0 para eliminar esse vetor. Quem já adotou essa mitigação após o alerta da CVE-2026-109619 não precisa repetir a medida. A equipe promete um boletim completo junto à correção futura, ainda sem data exata confirmada.
O Centro Integrado de Segurança Cibernética do governo brasileiro também destacou em 23 de outubro a baixa probabilidade de exploração devido às condições incomuns. A nova orientação não substitui a instalação das versões corrigidas para CVE-2026-109618 e CVE-2026-109619. Até esta atualização, não foi verificada confirmação oficial de ataques explorando especificamente a CVE-2026-115560.
Atualização de 23 de outubro: interrupções de serviços e resposta do Japão
As consequências das falhas foram além do risco técnico. Segundo reportagem da Reuters de 23 de outubro, órgãos públicos e empresas no Japão suspenderam temporariamente serviços on-line para aplicar medidas emergenciais contra as vulnerabilidades do PHP. A lista citada inclui serviços financeiros, transporte e órgãos governamentais. Essas paralisações preventivas não comprovam, por si, que todos os sistemas tenham sido invadidos.
A SoftBank informou oficialmente em 22 de outubro que colocou em manutenção emergencial páginas da própria empresa e das marcas Y!mobile e LINEMO. Já em 23 de outubro, a Reuters relatou que a operadora também suspendeu temporariamente um serviço de alertas emergenciais para usuários móveis enquanto verificava uma vulnerabilidade relacionada ao PHP. As duas medidas são distintas.
O governo japonês anunciou a criação de uma equipe para simular ciberataques com inteligência artificial e identificar fragilidades antes de possíveis invasores. Trata-se de uma medida de defesa anunciada, não de evidência de que a equipe já tenha evitado ataques. O ministro da Indústria, Ryosei Akazawa, defendeu o uso proativo de IA para testar sistemas.
Para administradores, a recomendação técnica permanece a mesma: instalar as versões corrigidas do PHP, verificar a versão efetivamente em execução e acompanhar os comunicados dos fornecedores. A dimensão internacional das interrupções reforça a urgência da atualização.
Fontes: PHP Security Team, 21/10/2026; ENISA, 21/10/2026; CIRCL, 21/10/2026.
Imagem ilustrativa: logotipo oficial PHP por Colin Viebrock, Wikimedia Commons, domínio público (PD-textlogo).
