PHP lança correções emergenciais para dois zero-days explorados e sites podem sofrer quedas

As duas falhas, CVE-2026-109618 e CVE-2026-109619, estão no núcleo do PHP e afetam servidores com PHP 5.4 ou posterior. A fonte diz que há exploits funcionais e exploração ativa. Os impactos listados são execução remota de código, negação de serviço e exposição de dados. As correções saíram nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A Wiz afirma que toda versão do PHP lançada na última década sofre com pelo menos uma das duas falhas.

Como o PHP sustenta Drupal, Magento, Joomla e WordPress, a superfície é enorme. A Wiz espera exploração em massa para instalar web shells, que dão ao atacante um painel web de controle remoto. A Cloudflare diz ter detectado exploração e aplicou regras de WAF às 3h02 (UTC). A Reuters relatou sites de governos na Europa e em outros lugares fora do ar. A Wiz compara o caso ao Log4Shell, de 2021, e diz que as organizações devem penar para aplicar o patch por um bom tempo. Segundo a Wiz, o encadeamento exigido para explorar as falhas era extremamente complexo, e modelos de IA de fronteira reduziram essa barreira. A OpenAI participou da pesquisa e da coordenação. Ubuntu já publicou pacotes PHP atualizados.

Em 21 de outubro de 2026, o CEVIU noticiou "PHP Alerta para Duas Falhas Críticas de Segurança: Patches de Emergência a Caminho", com o aviso da equipe sobre as mesmas CVEs de execução remota de código. Na época, os patches ainda eram uma promessa. Em 22 de outubro de 2026, o CEVIU publicou "PHP lança atualização de segurança que corrige duas vulnerabilidades críticas" e "Falhas críticas no PHP encontradas com ajuda de IA levam sites a ficarem temporariamente fora do ar". O quadro passou de alerta prévio para correção entregue, com exploração ativa e interrupções de sites.

Para quem opera servidores PHP expostos, a leitura é direta: o patch não é de janela de manutenção comum. Com exploração ativa e histórico de web shells em ataques assim, vale aplicar a atualização e também revisar servidores em busca de arquivos suspeitos. Quem depende de CMS precisa checar a versão do PHP do host, não só a do CMS. Regras de WAF ajudam a ganhar tempo, mas não substituem a atualização.