Resumo:
A equipe de desenvolvimento do PHP lançou oficialmente uma atualização de segurança de emergência em 21 de outubro de 2026 para corrigir duas vulnerabilidades de segurança graves. Essas duas vulnerabilidades são numeradas CVE-2026-109618 e CVE-2026-109619 respectivamente. Ambos são classificados como graves e podem permitir que invasores executem código remotamente sem fazer login. As autoridades recomendam fortemente que todos os usuários de PHP atualizem imediatamente para a versão reparada para evitar ataques ao servidor.
As versões corrigidas lançadas desta vez incluem PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. As autoridades apontaram que a vulnerabilidade afeta ambientes de implantação de PHP que lidam com solicitações através da rede, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. A equipe do PHP enfatizou especificamente que os riscos ambientais do uso do mod_php do Apache são particularmente preocupantes, pois houve demonstrações de que os invasores podem desencadear ataques antes que o código do aplicativo comece a ser executado.
A primeira vulnerabilidade, CVE-2026-109618, está relacionada ao mecanismo de tratamento de esgotamento de memória. Quando o PHP encontra memória insuficiente, o programa pode interromper o fluxo de processamento quando os dados da solicitação interna não foram totalmente inicializados e, em seguida, usar esses dados inválidos como dados válidos ao limpar recursos. Este estado anormal pode levar à corrupção da memória e pode ser explorado ainda mais sob certas condições, conseguindo, em última análise, a execução remota de código.
A segunda vulnerabilidade, CVE-2026-109619, envolve memória liberada e estado interno expirado. Alguns estados internos pertencentes à solicitação atual ainda podem permanecer após a memória correspondente ser liberada. As solicitações subsequentes tratadas pelo mesmo processo de trabalho podem usar dados obsoletos antes que a inicialização normal redefina esses estados, causando problemas de segurança. Ambas as vulnerabilidades podem permitir que invasores ultrapassem os limites originais de execução do programa.
A pontuação CVSS v4.0 de ambas as vulnerabilidades é 9,2, o que é um nível sério. O perigo é que um invasor pode não precisar de uma conta, senha ou outras credenciais de autenticação válidas para acionar a vulnerabilidade criando solicitações de rede específicas. Se o ataque for bem-sucedido, o invasor poderá executar comandos maliciosos, roubar dados, plantar programas maliciosos ou usar privilégios de servidor para continuar a expandir o escopo da intrusão.
PHP é uma das linguagens de programação do lado do servidor mais comuns em aplicativos da Internet e é amplamente usada para geração dinâmica de páginas da Web, interação de banco de dados e processamento de negócios em segundo plano. Sistemas de gerenciamento de conteúdo como o WordPress também dependem de PHP para funcionar, portanto, essa vulnerabilidade não afeta apenas uma determinada plataforma de site, mas envolve o ambiente operacional subjacente. Mesmo que um site tenha atualizado o programa principal e os plug-ins do WordPress, o site pode continuar em risco enquanto a versão do PHP no servidor ainda estiver vulnerável. Os funcionários do WordPress também deixaram claro que esse problema não precisa ser resolvido com o lançamento de uma atualização principal do WordPress. Os proprietários de sites devem verificar e atualizar o ambiente PHP em execução.
Para sites que usam versões suportadas do PHP 8.2 e superior, os administradores devem instalar a versão de reparo correspondente o mais rápido possível. Usuários que ainda utilizam o PHP 8.1 e versões anteriores precisam ter atenção especial: essas versões não recebem mais atualizações de segurança fornecidas diretamente pelo projeto PHP. No entanto, algumas distribuições Linux, provedores de suporte de longo prazo ou outros fornecedores podem fornecer patches de reversão, e os usuários relevantes devem confirmar com seus fornecedores de software se há uma correção.
As agências de segurança alertaram anteriormente que, se o site não conseguir corrigir a vulnerabilidade a tempo, deverá considerar restringir temporariamente o acesso externo e colocar o sistema off-line, se necessário. A divulgação desta vulnerabilidade também desencadeou respostas de emergência em muitos países e regiões. Algumas agências governamentais europeias tomaram a iniciativa de encerrar sites antes do lançamento do patch para reduzir riscos potenciais. A Reuters relata que algumas agências governamentais nos Países Baixos e na Finlândia tomaram medidas preventivas, reflectindo a pressão real que este incidente de segurança exerceu sobre os serviços de rede pública.
O lançamento emergencial oficial de patches do PHP significa que os problemas de segurança que estavam anteriormente no estágio de alerta entraram no estágio de reparo real. Para operadores de sites, a tarefa mais importante agora é confirmar a versão do PHP que o servidor está realmente executando, verificar se o provedor de hospedagem implantou atualizações e verificar se há processos anormais no sistema, modificações não autorizadas de arquivos ou conexões de rede suspeitas.
A segurança do site depende não apenas do aplicativo em si, mas também da manutenção oportuna do ambiente operacional subjacente. Como o PHP é amplamente implantado em vários sites e servidores, a instalação oportuna de versões oficiais de reparo é uma medida fundamental para reduzir o risco dessas duas vulnerabilidades graves.
Saiba mais:
https://www.php.net/archive/2026.php#2026-10-21-5
https://www.php.net/downloads.php
Comentários