O projeto PHP publicou atualizações para corrigir duas vulnerabilidades críticas que podem permitir execução remota de código sem autenticação em determinadas configurações. Os problemas receberam identificadores CVE-2026-109618 e CVE-2026-109619.
Uma falha envolve tratamento de memória em situações de esgotamento; a outra pode deixar estado interno antigo acessível entre requisições do mesmo worker. Em condições exploráveis, um invasor remoto poderia atingir o processo PHP antes da aplicação executar rotinas normais.
Versões corrigidas e componentes afetados no PHP
A equipe recomenda atualizar para PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Distribuições Linux e fornecedores de suporte prolongado podem disponibilizar pacotes próprios; administradores devem consultar a versão mantida pelo fornecedor.
A recomendação se aplica a instalações que atendem requisições web, incluindo PHP-FPM, Apache com mod_php, PHP-CGI e servidores compatíveis. A equipe apontou risco elevado para mod_php e afirmou que medidas temporárias não substituem a atualização.
Reinício dos processos e verificação da atualização
Depois de instalar o pacote corrigido, é necessário reiniciar processos e workers que possam continuar carregando a versão vulnerável. Administradores devem confirmar qual binário está em uso, pois um host pode manter várias versões.
O comunicado descreve medidas temporárias para reduzir caminhos de exploração, mas ressalta que elas não tornam a instalação segura. Entre elas estão revisar limites de requisição e desativar recursos de upload de sessão em configurações afetadas.
Sites WordPress dependem de PHP no servidor, mas isso não indica comprometimento por si só. A ação adequada é confirmar com a hospedagem qual versão está ativa, aplicar a correção e revisar logs se houver sinais anormais.
Fontes: PHP.net — aviso e versões corrigidas; GSI — alerta de segurança
