PHP alerta administradores sobre duas falhas críticas e patches de emergência amanhã
Equipe de segurança do PHP pede preparação para atualizações nesta quarta, após vazamento relatado de duas vulnerabilidades críticas.
Foto: Godfrey Atima (Pexels)
A equipe de segurança do PHP pediu nesta terça-feira (20) que administradores se preparem para atualizações emergenciais de segurança nesta quarta-feira (21), destinadas a corrigir duas vulnerabilidades classificadas como críticas. Segundo o BleepingComputer, informações sobre as falhas teriam vazado antes da divulgação prevista.
O PHP impulsiona grande parte dos sites e aplicações web, incluindo sistemas de gestão de conteúdo, plataformas de comércio eletrônico e serviços sob medida. A correção antecipada responde ao risco de exploração caso detalhes técnicos se espalhem antes do patch oficial.
O que aconteceu
Em aviso publicado na terça-feira, a equipe de desenvolvimento do PHP anunciou que pretende liberar atualizações de segurança na quarta-feira, 21 de outubro, às 14h00 UTC (11h00 no horário de Brasília), para tratar duas vulnerabilidades, cada uma com nota 9,2 no Sistema de Pontuação de Vulnerabilidades Comuns (CVSS) na versão 4.0.
O grupo também enviou comunicado à lista de e-mails ANNOUNCE, pedindo que os administradores se preparem para instalar as correções assim que estiverem disponíveis. “Reservamos o direito de lançar antes caso detalhes de qualquer uma das vulnerabilidades se tornem públicos, ou caso apareçam evidências de exploração ativa na prática”, alertou a equipe de segurança do PHP.
Os desenvolvedores não divulgaram detalhes técnicos: quais versões seriam afetadas, como as falhas poderiam ser exploradas ou quais releases trarão as correções. Pesquisadores da watchTowr disseram ao BleepingComputer que as vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, são falhas de execução remota de código (RCE) e que, em sua avaliação, atingiriam as versões 5, 6, 7 e 8 do PHP.
O diretor-executivo da watchTowr, Benjamin Harris, afirmou que, na última hora, duas vulnerabilidades de execução remota de código no PHP teriam vazado. Segundo ele, estavam sob embargo e com divulgação prevista para quinta-feira às 11h ET. Harris confirmou que as falhas são reais, atribuiu a ambas CVSS 10 e afirmou que afetariam as versões 5 a 8. A watchTowr também disse acreditar ter reproduzido com sucesso a CVE-2026-109618, mas que não divulgará informações técnicas até a chegada dos patches. Os pesquisadores esclareceram que não observaram exploração ativa, apesar do vazamento relatado.
Em publicação no X, a watchTowr alertou que dados sobre as falhas vazaram antes da data original de divulgação. O alerta veio após um post, depois apagado, no fórum Hacker News da Y Combinator, em que um usuário chamado “petecooper” afirmou que duas falhas críticas de execução remota de código no PHP seriam reveladas em 22 de outubro, com CVSS 10,0 e impacto desde o PHP 5 — identificadores coincidentes com os que a watchTowr compartilhou depois.
Há divergência entre essas fontes e o comunicado oficial: a watchTowr e o post no Hacker News falaram em CVSS 10,0, enquanto o PHP atribuiu 9,2 (CVSS v4.0) a cada falha; a watchTowr citou divulgação original na quinta, e o PHP marcou a liberação para a manhã de quarta. A equipe do PHP afirmou que publicará detalhes técnicos, versões afetadas e releases corrigidas quando as atualizações estiverem disponíveis.
O que isso pode mudar
Se as correções saírem no horário previsto — ou ainda mais cedo, caso o vazamento se amplie —, administradores de servidores e sites em PHP podem precisar interromper rotinas de manutenção para aplicar patches com urgência. Em ambientes com muitas aplicações legadas, inclusive nas versões mais antigas citadas por pesquisadores, o intervalo entre o vazamento e a correção poderia aumentar a exposição a ataques de execução remota de código, embora ainda não haja indício público de exploração em larga escala.
Caso o padrão se confirme — falhas graves vazadas sob embargo —, equipes de segurança podem acelerar planos de contingência e monitoramento, mesmo sem detalhes oficiais. O impacto concreto, porém, só deve ficar claro quando o PHP publicar o escopo técnico e as versões corrigidas.
Fontes: BleepingComputer
Leia mais em: mundodosnegocio.com.br