Publicidade
A equipe de segurança do PHP alerta que todos os usuários realizem atualização emergencial de segurança do sistema nesta quarta-feira (21) devido a falhas graves em versões da linguagem de programação.
O PHP é uma linguagem de programação usada no servidor de muitos sites. De acordo com a empresa, uma falha ampliou o risco de que um invasor consiga executar código no servidor sem precisar fazer login, o que pode abrir caminho para roubo de dados, alteração de páginas, instalação de malware e comprometimento de outros sistemas, dependendo das permissões e da configuração do servidor.
O problema pode estar na versão do PHP que mantém os sites funcionando. Um site pode estar com WordPress, por exemplo, plugins e temas atualizados e continuar vulnerável se o servidor estiver usando uma versão do PHP sem a correção. Sites podem sair do ar, por exemplo, caso as medidas preventivas não sejam tomadas.
Estão afetadas as versões anteriores às correções PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A versão PHP 8.1 e anteriores não recebem mais atualizações regulares do projeto e também podem ser afetadas.
Qual é a falha do PHP?
O comunicado do PHP descreve duas vulnerabilidades distintas:
- CVE-2026-109618 — corrupção durante esgotamento de memória (OOM): quando o PHP fica sem memória durante o processamento de uma requisição, pode entrar em um estado interno inconsistente. Na etapa de limpeza, ele pode interpretar dados parcialmente inicializados como válidos. Segundo o aviso, isso pode permitir a execução remota de código;
- CVE-2026-109619 — estado global obsoleto: informações internas de uma requisição podem permanecer na memória depois de ela ser liberada. Uma requisição posterior, atendida pelo mesmo processo do servidor, pode reutilizar esses dados indevidamente antes da reinicialização correta do estado.
Os dois problemas são do funcionamento interno do PHP, em que um envolve um erro durante uma situação de falta de memória, enquanto o outro, o reaproveitamento indevido de informações antigas entre requisições.
Continua depois da publicidade
O comunicado indica que estão em risco “todas as instalações PHP que processam requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. Consideramos que o risco é maior no caso do mod_php, com um exploit demonstrado no qual uma requisição não autenticada pode desencadear o ataque antes mesmo da execução de qualquer código da aplicação”.
O que fazer para evitar a falha do PHP?
A principal recomendação da companhia é que todos os usuários com versões antigas da linguagem de programação atualizem os sistemas para o PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. O código-fonte está disponível na página de downloads do PHP.
Dada a gravidade das vulnerabilidades identificadas, a equipe de segurança do PHP disponibilizou backports mínimos do código-fonte para as versões 7.4, 8.0 e 8.1, visando auxiliar aqueles que compilam o software a partir do código-fonte ou que não possuem acesso a um fornecedor com suporte de longo prazo (LTS).
Continua depois da publicidade
Caso não seja possível realizar a atualização imediatamente, o site da empresa revela algumas medidas a seguir que reduzem a exposição a vetores de ataque específicos, sem, contudo, tornar a instalação totalmente segura.
