Marcos Antonio PHP — a linguagem recebeu uma atualização emergencial após a descoberta de duas vulnerabilidades que abrem caminho para invasores executarem comandos em servidores sem precisar de senha; a correção foi divulgada em 21 de outubro de 2026 e tem implicações diretas para administradores de hospedagem, sites em WordPress e ambientes que processam PHP em produção.
O alcance do problema: como as brechas funcionam
As duas falhas identificadas, CVE-2026-109618 e CVE-2026-109619, afetam o funcionamento interno do PHP e receberam nota de gravidade 9,2 de 10. Em termos práticos, elas permitem a execução remota de código (RCE) quando exploradas com sucesso.
Global Election Simulator: ferramenta que não é pesquisa eleitoral
Leia a matéria completa →
Manoel Gomes apresenta Ester Muniz como “esposa” em vídeos pós-derrota
Veja o que aconteceu →
Time do Ciro no Ceará declara apoio a Flávio Bolsonaro
Leia a matéria completa →
Tabela do Brasileirão 2026: classificação atualizadaVer classificação, artilharia e próximos jogos →Uma das falhas envolve tratamento incorreto da falta de memória, possibilitando corrupção de memória; a outra decorre do reaproveitamento indevido de dados entre requisições, permitindo que informações destinadas a uma sessão sejam reutilizadas por outra.
CVE-2026-109618 e CVE-2026-109619 receberam nota 9,2 de 10 em gravidade e podem levar à execução remota de código em servidores que utilizam PHP.
O que administradores e donos de sites precisam fazer agora
Donos de sites devem confirmar com a hospedagem se a correção foi aplicada ou instalar diretamente as versões corrigidas: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 são as primeiras linhas que receberam os patches. Em servidores pessoais ou VPS, o administrador precisa atualizar os pacotes ou aplicar imagens de contêiner com as correções.
O risco é mais elevado em ambientes que usam mod_php no Apache, mas também alcança PHP-FPM, php-cgi, FrankenPHP e LiteSpeed; confiar apenas em regras de WAF não substitui a atualização completa do PHP. Antes de mudanças maiores, recomenda-se backup e testes de compatibilidade de aplicações e plugins.
O que você acha? Você já precisou lidar com uma correção crítica de segurança em servidor web? Para acompanhar mais notícias e guias técnicos, acesse nossa editoria.
Foto: Divulgação
Perguntas Frequentes
Como as CVE-2026-109618 e CVE-2026-109619 afetam servidores que executam PHP?
O PHP nas versões afetadas permite cenários de execução remota de código (RCE) porque uma falha trata dados de memória incompletos como válidos e outra reaproveita informações entre requisições; ambas receberam gravidade 9,2. Ambientes com mod_php no Apache são especialmente sensíveis, mas PHP-FPM, php-cgi, FrankenPHP e LiteSpeed também foram incluídos no alerta.
Quais versões do PHP já foram corrigidas e como verificar isso em um site WordPress?
As versões corrigidas do PHP são 8.5.12, 8.4.27, 8.3.36 e 8.2.35; para sites WordPress, é possível checar a versão do PHP pelo painel administrativo em Ferramentas → Diagnóstico → Informações → Servidor e comparar com esses números, lembrando que fornecedores podem aplicar correções retroativas (backport) sem alterar a numeração exibida.
O que provedores e hospedagens no Brasil tomaram após o alerta do PHP?
O CTIR Gov publicou a Recomendação Técnica 19/2026 pedindo identificação de aplicações com PHP e priorização de atualizações; provedores de hospedagem relataram revisão de ambientes e distribuição de versões corrigidas, e algumas plataformas informaram que, em testes internos, seus ambientes gerenciados não estavam vulneráveis a ataques conhecidos como PHP2Shell, enquanto continuavam a aplicar proteções adicionais.
