PHP recomenda atualização emergencial por falhas graves que permitem invasão de servidores

A equipe de segurança do PHP recomendou na quarta-feira (21) uma atualização emergencial para usuários da linguagem, por causa de duas falhas graves que permitem a invasores executar código em servidores sem fazer login. O alerta vale para sites e sistemas que processam requisições web com a linguagem.

De acordo com o comunicado, as vulnerabilidades podem levar a roubo de dados, alteração de páginas, instalação de malware e comprometimento de outros sistemas. Conforme as permissões e a configuração do servidor, os ataques podem até deixar sites fora do ar.

A segurança de plataformas como o WordPress pode ser afetada mesmo quando temas e plugins estão atualizados, porque o problema está na versão do PHP usada pelo servidor. Se a instalação não tiver a correção, o site segue exposto.

O comunicado detalha duas falhas. A primeira, CVE-2026-109618, ocorre quando o sistema fica sem memória ao processar uma requisição, situação conhecida como esgotamento de memória (OOM). Nesse cenário, dados malformados podem ser tratados como válidos, abrindo caminho para execução remota de código.

A segunda, CVE-2026-109619, envolve um estado global obsoleto. Informações de uma requisição continuam na memória depois de liberadas, e uma nova requisição atendida pelo mesmo processo pode reutilizar esses dados antes que o estado seja reiniciado corretamente.

O risco é maior para quem usa mod_php. Nesse caso, já houve demonstração de um ataque que ocorre antes da execução de qualquer código da aplicação. As falhas afetam instalações como PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.

A recomendação é atualizar para PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. O código-fonte está disponível na página oficial de downloads do projeto.

Para PHP 8.1 e versões anteriores, que não recebem mais atualizações regulares, a equipe disponibilizou correções mínimas (backports). Elas atendem a quem compila o software a partir do código-fonte ou não tem suporte de longo prazo (LTS).

Se não for possível atualizar imediatamente, o site do projeto indica medidas que reduzem a exposição a ataques específicos. A equipe alerta, porém, que essas ações paliativas não deixam a instalação totalmente segura.

Principais informações

• A equipe de segurança do PHP pediu atualização emergencial na quarta-feira (21).
• Duas falhas podem permitir execução remota de código sem login.
• Os riscos incluem roubo de dados, alteração de páginas e instalação de malware.
• WordPress pode ser afetado mesmo com temas e plugins atualizados.
• As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.