Duas falhas críticas no PHP exigem atualização imediata de sites e servidores
A equipe oficial do PHP emitiu um alerta de segurança em 20 de outubro de 2026. No dia seguinte, foram divulgadas as vulnerabilidades CVE-2026-109618 e CVE-2026-109619.
As duas falhas receberam nota 9,2 de 10 no CVSS v4.0. O risco inclui a execução remota de código sem autenticação em servidores vulneráveis.
As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O PHP 8.1 e as versões anteriores não recebem patches oficiais do projeto.
Nesses casos, a recomendação é migrar ou buscar correções do fornecedor. Profissionais de tecnologia devem verificar versões e configurações, atualizar servidores, revisar logs e conferir backups. O alerta não significa que todos os sites foram comprometidos.
O comunicado está disponível no arquivo oficial do PHP: