Duas brechas no PHP permitem invasões remotas; versões corrigidas já estão disponíveis

As falhas CVE-2026-109618 e CVE-2026-109619 entraram no catálogo de vulnerabilidades exploradas da CISA em 26 de outubro.

Duas vulnerabilidades críticas no PHP passaram a ser tratadas como exploradas em ataques reais, e a CISA, agência de cibersegurança dos Estados Unidos, incluiu os problemas em seu catálogo de ameaças conhecidas em 26 de outubro. As brechas podem permitir que invasores executem código remotamente sem autenticação. Para órgãos civis do governo federal americano, a agência fixou 29 de outubro como prazo para a correção.

A recomendação também acende um alerta para empresas e administradores de sites fora dos EUA: o prazo obrigatório vale para as agências federais civis americanas, mas as vulnerabilidades afetam versões do PHP usadas em serviços de muitos países. Quem mantém sistemas próprios ou contrata hospedagem precisa descobrir qual versão está rodando e se ela já recebeu o patch.

O que as falhas permitem

As vulnerabilidades são identificadas como CVE-2026-109618, ligada a corrupção de memória, e CVE-2026-109619, relacionada a um estado interno de requisição que pode permanecer inconsistente. As duas ficaram conhecidas pelo apelido “PHP2Shell”. Segundo as informações de segurança consultadas, a exploração pode abrir caminho para execução remota de código, sem que o atacante precise entrar com uma conta legítima.

Na prática, isso pode dar a um invasor controle sobre partes do servidor exposto, dependendo da configuração e dos privilégios disponíveis. Um servidor comprometido pode afetar o site hospedado e, em alguns casos, outros serviços ou dados que ele acessa. Isso não significa que toda instalação vulnerável já tenha sido invadida, mas a confirmação de exploração ativa torna arriscado esperar por uma janela de manutenção distante.

Quem precisa agir e até quando

A determinação da CISA está vinculada à Diretiva Operacional Vinculante 22-01, que orienta órgãos civis federais dos EUA a corrigir vulnerabilidades incluídas no catálogo KEV dentro de prazos definidos. Para as duas falhas do PHP, o vencimento indicado é 29 de outubro. A regra não obriga empresas privadas brasileiras a cumprir esse mesmo calendário, mas o prazo curto sinaliza a urgência atribuída ao risco.

Para equipes de tecnologia, o primeiro passo é inventariar servidores e aplicações que usam PHP, inclusive ambientes antigos ou administrados por terceiros. Depois, é preciso aplicar a atualização indicada para a linha instalada e testar se sites, integrações e sistemas internos continuam funcionando. Se a atualização imediata não for possível, a orientação reportada é reduzir a exposição ou retirar temporariamente o sistema vulnerável do ar.

As versões que receberam correções

O alerta de segurança lista atualizações para diferentes linhas mantidas do PHP. As versões corrigidas indicadas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35, ou versões posteriores de cada ramo. Administradores devem confirmar a versão exata e seguir as instruções oficiais antes de atualizar; uma aplicação pode depender de componentes adicionais, então a correção precisa ser feita com planejamento, sem deixar o servidor desprotegido por mais tempo do que o necessário.

O PHP é uma tecnologia amplamente usada para executar aplicações e páginas web. Está presente em sistemas de gestão de conteúdo, lojas virtuais e aplicações feitas sob medida. Por isso, uma falha no ambiente de servidor pode alcançar organizações de setores diferentes, mesmo quando o público não vê diretamente qual linguagem está por trás de um site.

O que muda para empresas e usuários

A inclusão no catálogo KEV é um sinal de que o problema deixou de ser apenas teórico: a CISA usa essa lista para registrar vulnerabilidades com evidência de exploração. Isso não permite concluir, por si só, quantos servidores foram afetados nem quem está por trás dos ataques. Também não há, no alerta citado, uma identificação pública dos responsáveis.

Para quem usa serviços online, a principal consequência é indireta: a rapidez com que fornecedores e administradores corrigem seus sistemas ajuda a reduzir a chance de indisponibilidade, invasão ou exposição de dados. Empresas que terceirizam a hospedagem podem pedir confirmação por escrito sobre a versão do PHP e a aplicação do patch, em vez de presumir que a atualização ocorreu automaticamente.

Quer se aprofundar nesta notícia? Leia mais sobre ela abaixo: