PHP libera correções para duas falhas críticas que afetam servidores web

O projeto PHP publicou em 21 de outubro de 2026 atualizações de segurança para duas vulnerabilidades críticas que podem permitir execução remota de código sem autenticação. As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Fonte: aviso oficial do PHP.

O alerta abrange instalações em versões afetadas que atendem requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. A equipe considera maior o risco no mod_php.

Correção depende do ambiente de hospedagem

As falhas foram identificadas como CVE-2026-109618 e CVE-2026-109619. Segundo o projeto, apenas atualizar oferece uma solução completa; medidas temporárias reduzem caminhos específicos de ataque, mas não tornam a instalação segura.

Distribuições Linux e fornecedores de suporte prolongado receberam os patches antecipadamente. O PHP orienta verificar os pacotes corrigidos com o fornecedor. Fonte: instruções de atualização.

WordPress pede checagem com o provedor

Em comunicado também de 21 de outubro, o WordPress recomendou que responsáveis por sites confirmem a situação com sua hospedagem. O provedor pode já estar atualizando o PHP ou aplicando regras de firewall, mas isso não dispensa conferir a disponibilidade da correção.

O projeto esclareceu que essas falhas não são exclusivas do WordPress e que não há atualização do próprio CMS prevista para resolvê-las. A intervenção necessária está no PHP usado pelo servidor.

Para consultar a versão instalada, o comunicado indica a área de saúde do site, nas informações de servidor, dentro do painel WordPress. Muitos provedores também mostram esse dado no painel da hospedagem. Fonte: orientação do WordPress.

Agência recomenda inventariar serviços expostos

A Agência de Segurança Nacional dos Estados Unidos, NSA, publicou um alerta na mesma data. A entidade recomenda identificar os serviços de hardware e software que dependem de versões vulneráveis do PHP e priorizar a aplicação dos pacotes dos respectivos fornecedores.

As vulnerabilidades, chamadas em conjunto de PHP2Shell, podem permitir controle de servidores afetados sem acesso prévio. Entre os impactos possíveis citados estão roubo de dados, interrupção de serviços e avanço pela rede. O alerta também recomenda acompanhar atualizações adicionais de fornecedores e avaliar reforço dos registros de atividade. Fonte: comunicado da NSA.

Para equipes que mantêm páginas de campanhas, lojas ou portais, a providência prática é encaminhar o aviso ao responsável técnico e pedir confirmação da correção aplicada. A existência do alerta, isoladamente, não demonstra invasão de um site específico.

Conteúdo da Equipe Nextags. Preparado com apoio de IA. Consulte as fontes e os critérios editoriais. Conheça nossos critérios editoriais e como solicitar uma correção.