Falhas críticas no PHP em outubro de 2026: como proteger seu site

O que são essas falhas do PHP?

A CVE-2026-109618 está relacionada à reação do PHP ao esgotamento de memória. Uma interrupção durante a inicialização pode deixar estruturas internas incompletas, que acabam tratadas como válidas durante a limpeza da requisição. O resultado pode ser corrupção de memória.

A CVE-2026-109619 envolve estado interno que continua apontando para memória já liberada. Se o mesmo processo recebe outra requisição e acessa esses dados antes da reinicialização adequada, pode ocorrer uso de memória inválida. A exploração depende da versão, da configuração e do comportamento da aplicação.

Os dois avisos receberam nota 9,2 no CVSS v4. O impacto confirmado inclui execução de código sem login prévio. Isso torna a correção urgente, mas não comprova que um site vulnerável já tenha sido invadido.

Fontes: PHP — CVE-2026-109618: RCE via OOM corruption · PHP — CVE-2026-109619: RCE via stale global state · The PHP Foundation — correções de 21/10/2026

Quem precisa verificar a hospedagem?

O alerta oficial inclui instalações que recebem requisições web, como PHP-FPM, Apache com mod_php, CGI, FrankenPHP e LiteSpeed. O projeto destacou risco especialmente alto no mod_php. Outros modos de execução também precisam da conferência das correções.

Atualizar apenas o WordPress ou o Laravel não substitui corrigir o PHP. Além disso, a versão usada no terminal pode ser diferente da que atende ao domínio: uma hospedagem pode manter várias versões e diferentes conjuntos de processos.

• Proprietário do site: peça ao suporte a confirmação do pacote PHP usado pelo seu domínio.
• Agência ou desenvolvedor: confira cada ambiente de produção que usa PHP.
• Administrador: priorize as aplicações expostas à internet e registre a atualização aplicada.

Fontes: PHP.net — avisos de segurança de outubro de 2026 · NCSC — alerta e orientações para organizações

Quais versões receberam a correção?

As versões abaixo foram anunciadas com as correções das duas falhas. Elas são referências para o ramo correspondente; acompanhe também novos avisos do projeto e do seu fornecedor.

Distribuições Linux e fornecedores com suporte estendido podem aplicar a correção por backport, mantendo parte da numeração anterior. Confirme o pacote e o boletim do fornecedor, em vez de avaliar a proteção apenas pelo número principal exibido.

• PHP 8.2: versão 8.2.35 com as correções.
• PHP 8.3: versão 8.3.36 com as correções.
• PHP 8.4: versão 8.4.27 com as correções.
• PHP 8.5: versão 8.5.12 com as correções.

Fontes: PHP.net — avisos de segurança de outubro de 2026 · PHP — changelog oficial do PHP 8

Avisos complementares de outubro

Em 23 de outubro, o PHP recomendou desativar session.upload_progress.enabled para um cenário incomum envolvendo a troca do serializador de sessões durante a execução da aplicação. A medida deve ser avaliada pelo administrador e não substitui as correções das duas falhas críticas.

Em 26 de outubro, o projeto disponibilizou pacotes Windows reconstruídos com uma correção da biblioteca Brotli. O sufixo -1 identifica esses pacotes, sem mudar a versão do código-fonte PHP. Quem usa PHP no Windows deve conferir o pacote completo.

Fontes: PHP.net — avisos de segurança de outubro de 2026

Como organizar a atualização do site

O NCSC recomenda inventariar as instalações PHP e atualizar primeiro as que recebem tráfego da internet. Quando não é possível corrigir ou mitigar com rapidez, o responsável técnico pode precisar considerar a indisponibilidade temporária do sistema.

Para a operação do dia a dia, a equipe CapiHost recomenda uma conferência curta e documentada. Assim você sabe qual ambiente mudou e confirma que as funções importantes continuam operando.

• Identifique o domínio, a aplicação, a versão web do PHP e o responsável pela manutenção.
• Confira um backup recente e uma forma testada de recuperar arquivos e banco de dados.
• Quando disponível, valide a atualização em um ambiente separado, com as extensões necessárias ao site.
• Aplique o pacote corrigido e confirme o reinício dos processos PHP que atendem à aplicação.
• Teste páginas públicas, login, formulários, uploads e tarefas agendadas utilizados pelo seu projeto.
• Registre o pacote implantado e acompanhe eventuais erros após a alteração.

Fontes: NCSC — alerta e orientações para organizações

Mitigações temporárias têm limites

Os avisos técnicos descrevem medidas para reduzir caminhos específicos de exploração. Aplicar uma versão corrigida continua sendo a solução completa para as duas falhas. Ocultar mensagens de erro ou ter um certificado SSL não corrige o gerenciamento de memória do PHP.

Evite copiar ajustes de memória sem avaliar o ambiente. Uma configuração pode reduzir um caminho de ataque e, ao mesmo tempo, causar consumo excessivo de recursos ou indisponibilidade. Peça ao administrador uma avaliação e um plano de atualização.

Se houver suspeita de invasão, preserve os registros relevantes e investigue arquivos e acessos indevidos. Atualizar o PHP não remove automaticamente uma alteração maliciosa que já tenha sido feita no site.

Fontes: PHP — CVE-2026-109618: RCE via OOM corruption · PHP — CVE-2026-109619: RCE via stale global state · NCSC — alerta e orientações para organizações

E quem ainda usa PHP antigo?

Ramos fora de suporte deixam de receber a manutenção regular do projeto. Os patches excepcionais disponibilizados para versões antigas nesse incidente não representam a retomada do suporte. Planeje a migração para um ramo mantido e teste a compatibilidade da aplicação.

O calendário oficial prevê o fim do suporte de segurança do PHP 8.2 em 31 de dezembro de 2026. Corrigir agora é necessário; planejar a próxima atualização evita chegar ao fim do suporte sem uma alternativa validada.

Fontes: PHP.net — avisos de segurança de outubro de 2026 · PHP — calendário oficial de versões suportadas

O que pedir ao suporte da sua hospedagem

Informe o domínio e pergunte se o PHP que atende ao site recebeu as correções das CVE-2026-109618 e CVE-2026-109619, qual pacote comprova a atualização e se os processos em execução foram renovados.

Se o projeto depende de uma versão antiga por causa de um tema, plugin ou integração, avise isso antes da mudança. Para falar com a CapiHost, use o botão de WhatsApp no site e envie o domínio e uma descrição do que precisa verificar.

Este conteúdo explica os avisos públicos. A confirmação de proteção de um domínio depende da análise do ambiente e das atualizações efetivamente aplicadas.