PHP agenda correção de emergência para duas falhas críticas com nota 9.2

A equipe de segurança do PHP vai publicar uma versão de segurança fora do ciclo às 14:00 UTC de 21 de outubro de 2026, para duas falhas que classifica como críticas. Pesquisadores dizem que os bugs permitem execução remota de código, e detalhes vazaram um dia antes. Quem roda PHP deve estar pronto para aplicar o patch assim que a versão sair.

O PHP é a linguagem por trás do WordPress, do Drupal e de uma grande parte do código de servidor da web. Uma versão fora do ciclo é aquela lançada fora do calendário normal de versões do projeto, que o PHP reserva para correções urgentes.

O que a equipe de segurança do PHP anunciou

O aviso do PHP.net, publicado em 20 de outubro, diz pouco de propósito. Ele cita duas vulnerabilidades e dá a cada uma nota 9.2 no CVSS v4.0, a escala padrão de gravidade de 0 a 10. Não traz números de CVE, nem descrição, nem números de versão. As versões afetadas e corrigidas "serão publicadas junto com o lançamento", diz o aviso.

A equipe também deixou margem para agir mais rápido. Ela diz que pode lançar antes se os detalhes se tornarem públicos ou se os ataques começarem. "Todos os usuários de PHP são incentivados a se preparar agora para que possam atualizar assim que o lançamento estiver disponível", diz o aviso.

O LWN, um site veterano de notícias sobre Linux e código aberto, repassou o alerta no mesmo dia. Ele disse a todos que mantêm um site em PHP para se prepararem para a atualização.

O que vazou e o que ainda não foi confirmado

O The Hacker News relata que pesquisadores chamam a dupla de "php2shell", um nome que o PHP não usou. A empresa de segurança watchTowr diz que as falhas permitem execução remota de código, ou seja, um invasor poderia executar comandos no servidor. Em 20 de outubro, a watchTowr disse no X que um vazamento sobre elas era real. Ela acrescentou que as falhas estavam sob embargo, um período em que os detalhes ficam em sigilo até que uma correção seja lançada.

Esse vazamento foi uma publicação no Hacker News, o fórum de tecnologia. Ela dizia que a divulgação estava prevista para quinta-feira, 22 de outubro, e afirmava que todas as versões a partir do PHP 5 são afetadas. Esse alcance não foi confirmado. Nas palavras do FAQ da watchTowr, ele "não foi confirmado por um alerta oficial do fornecedor".

Pesquisadores associam dois IDs às falhas: CVE-2026-109618 e CVE-2026-109619. O aviso do PHP não cita nenhum dos dois.

Um texto autopublicado no jackalsyn.com, de um pesquisador que usa o nome J4ck3LSyN, liga esses IDs a um bug de use-after-free em session.upload_progress. Um use-after-free acontece quando um programa continua usando memória que já liberou. O recurso em si acompanha o progresso de uploads de arquivos na sessão de um usuário.

Esse texto dá às próprias descobertas notas bem mais baixas que as do PHP: 5.3, ou Medium, para um caminho e 0.0 para outro. Ele reproduziu o bug apenas no Apache com mod_php em modo prefork e não mostrou execução de código. Nada confirma que ele descreve os mesmos bugs que o PHP classificou com 9.2.

Quais versões do PHP vão receber correções

O The Hacker News diz que só os branches com suporte, de 8.2 a 8.5, vão receber correções. O Alpine Linux e o pesquisador de segurança Kevin Beaumont acompanham os números de versão esperados, que o PHP não confirmou.

Branch	Versão atual	Status de suporte	Correção esperada (não confirmada)
PHP 8.5	8.5.11	Suporte ativo até 31 de dezembro de 2027	8.5.12
PHP 8.4	8.4.26	Suporte ativo até 31 de dezembro de 2026	8.4.27
PHP 8.3	8.3.35	Só correções de segurança até 31 de dezembro de 2027	8.3.36
PHP 8.2	8.2.34	Só correções de segurança até 31 de dezembro de 2026	8.2.35
PHP 8.1 e anteriores	n/a	Fim de vida	Sem correção do PHP

Os branches antigos são uma parte grande da web. Uma contagem no Shodan feita pela Mallory em 20 de outubro, citada pelo The Hacker News, encontrou cerca de 884.000 hosts expostos à internet que informam PHP 8.1 ou anterior. Isso equivale a 59% de cerca de 1,5 milhão de hosts que informam alguma versão. Outros cerca de 740.000 informam PHP sem versão. São contagens de banner, não sistemas vulneráveis confirmados.

Nenhum ataque foi relatado até agora. A Huntress, uma empresa de segurança, não viu exploração até 20 de outubro e não conhecia nenhum código de exploração público. As falhas não estão na lista de vulnerabilidades exploradas conhecidas da CISA. Essa janela pode ser curta: a Akamai viu tentativas de ataque em menos de 24 horas depois que a CVE-2024-4577, uma falha anterior do PHP, se tornou pública em junho de 2024.

O que isso significa para desenvolvedores

Primeiro, encontre todas as cópias do PHP. A Huntress e o CERT-EU recomendam um inventário que inclua cópias embutidas, como o PHP dentro de imagens de contêiner, appliances e painéis de hospedagem. O servidor de que você se esqueceu é o que acaba sendo atacado.

Aplique o patch primeiro nos sistemas expostos à internet, assim que a versão sair às 14:00 UTC. Ela já saiu como PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Se você instala o PHP a partir de uma distribuição Linux ou de uma imagem base de contêiner, verifique quando essa fonte publica o pacote recompilado. Isso pode atrasar em relação ao php.net.

Planeje agora o que fazer com os branches em fim de vida. O PHP 8.1 e anteriores não vão receber correção do projeto. O CERT-EU recomenda "considerar isolar das redes públicas as aplicações expostas à internet até que uma correção esteja disponível". As outras opções são um upgrade, uma VPN ou um web application firewall na frente do site.

Trate a solução alternativa não oficial com cuidado. O texto do jackalsyn.com sugere definir session.upload_progress.enabled = Off. O PHP não publicou nenhuma solução alternativa, e esse texto pode não descrever os bugs que o PHP está corrigindo. A maioria dos apps não precisa dessa configuração, a menos que mostre barras de progresso de upload, então desativá-la é um paliativo barato, não uma correção.

Fique atento a sinais de comprometimento nesta semana. O The Hacker News repassa a orientação de gerar alertas quando um processo PHP inicia um shell ou uma ferramenta de download. As aplicações PHP tiveram um mês movimentado: o Drupal lançou uma correção para uma falha crítica no Field UI em 14 de outubro.