Resumo:
A equipe de segurança do PHP acaba de emitir um alerta de segurança de emergência. A equipe lançará uma atualização de segurança de emergência para corrigir duas vulnerabilidades de segurança de alto risco às 22h do dia 21 de outubro de 2026. Os detalhes oficiais da vulnerabilidade ainda não foram anunciados, mas de acordo com notícias que circulam na Internet, a versão antiga do PHP possui uma vulnerabilidade de execução remota de código e apenas a configuração de instalação padrão é necessária para acionar a vulnerabilidade.
A equipe de segurança do PHP afirmou que é recomendado que todos os usuários atualizem para a versão mais recente imediatamente após o lançamento da atualização. A versão afetada, a versão de reparo e alguns detalhes serão anunciados após o lançamento da nova versão. O responsável afirmou ainda que se os detalhes da vulnerabilidade forem divulgados antecipadamente ou surgirem evidências de exploração selvagem, não está descartado que uma versão reparada seja lançada antecipadamente.
Os números de vulnerabilidade atualmente conhecidos são CVE-2026-109618 e 109619, e as pontuações de vulnerabilidade são ambas 9,2. De acordo com o plano de reparo, a equipe do PHP fornecerá atualizações de segurança apenas para a série PHP 8. Versões mais antigas, como PHP 5.6 e 7.x, não poderão receber atualizações. Não se sabe se haverá uma solução de mitigação até então.
PHP é muito usado, mas muitos sites ainda usam versões mais antigas que foram descontinuadas. Os dados do Cyberspace Insights mostram que aproximadamente 59,4% dos 1,5 milhão de hosts PHP expostos estão usando versões mais antigas do PHP que não conseguem obter atualizações. Quando a nova versão for corrigida, as principais vulnerabilidades poderão em breve ser descobertas por hackers e lançar ataques.
Portanto, um grande número de sites pode ser atacado devido a vulnerabilidades do PHP. Este incidente é extremamente prejudicial. Recomenda-se que usuários que utilizam PHP fiquem atentos à atualização de versão lançada às 10 horas da noite. Se necessário, eles podem até desligar antecipadamente para aguardar a atualização.
Comentários