PHP lança atualização de segurança que corrige duas vulnerabilidades críticas

O PHP lançou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para corrigir duas falhas críticas de execução remota de código (RCE) que, sob certas condições, podem ser exploradas por atacantes sem autenticação. A primeira, CVE-2026-109618, vem de corrupção de memória por falta de memória (OOM): se uma requisição atinge o memory_limit no momento errado, o PHP deixa dados internos parcialmente inicializados e depois os trata como válidos. No Apache com mod_php, isso pode ser disparado antes de qualquer código da aplicação rodar, e houve RCE demonstrada com configurações padrão. Em PHP-FPM, a RCE foi confirmada por caminhos de código da aplicação.

A segunda, CVE-2026-109619, envolve estado obsoleto: um erro fatal no ponto errado deixa o estado interno apontando para memória de uma requisição anterior, e uma requisição seguinte no mesmo worker pode usar essa memória já liberada (use-after-free). O pesquisador demonstrou RCE contra uma aplicação real em Apache com mod_php. Segundo a PHP Foundation, as duas falhas estão em gerenciamento de memória e tratamento de erros, partes que quase toda requisição toca. Por isso foram tão graves e difíceis de corrigir sem quebrar compatibilidade, perder desempenho ou forçar mudanças em extensões de terceiros. A pontuação CVSS real é 9.2, e não o 10.0 que circulou após o vazamento.

Em 21 de outubro de 2026, o CEVIU noticiou "PHP Alerta para Duas Falhas Críticas de Segurança: Patches de Emergência a Caminho", com o aviso sobre as CVE-2026-109618 e CVE-2026-109619. Agora o patch saiu: o que era alerta de que as correções viriam virou release oficial nas quatro branches suportadas. A fundação também detalha o histórico, incluindo o vazamento dos IDs dois dias antes da data prevista e a antecipação do lançamento de 22 para 21 de outubro.

Para quem opera PHP em produção, sobretudo com Apache e mod_php, a leitura é direta: atualizar para a versão corrigida da sua branch é prioridade, porque o vazamento e o vídeo de prova de conceito aceleraram a criação de PoCs. A fundação diz que não viu exploits funcionais na divulgação, mas esse quadro pode mudar rápido. Há também um recado de fundo: o projeto depende de poucos desenvolvedores financiados, e a fundação pede patrocínio de empresas e governos que usam a linguagem.