Cidades
A equipe oficial do PHP emitiu um alerta de segurança em 20 de outubro de 2026. No dia seguinte, foram divulgadas as vulnerabilidades CVE-2026-109618 e CVE-2026-109619.
01
As duas falhas receberam nota 9,2 de 10 no CVSS v4.0. O risco inclui a execução remota de código sem autenticação em servidores vulneráveis. As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O PHP 8.1 e as versões anteriores não recebem patches oficiais do projeto.
02
Nesses casos, a recomendação é migrar ou buscar correções do fornecedor. Profissionais de tecnologia devem verificar versões e configurações, atualizar servidores, revisar logs e conferir backups. O alerta não significa que todos os sites foram comprometidos.
03
O comunicado está disponível no arquivo oficial do PHP:
Fontes da reportagem
Esta Web Story apresenta os fatos essenciais da matéria. A reportagem completa reúne documentos, atualizações e contexto adicional.