PHP corrige duas falhas críticas que podem permitir ataque remoto a sites

O projeto PHP lançou em 21 de outubro as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, que corrigem duas falhas críticas. Segundo o próprio projeto, elas podem permitir a execução de código em servidores sem que o invasor precise fazer login.

A CVE-2026-109618 ocorre quando a falta de memória interrompe o PHP no meio do tratamento de um pedido ao site, a chamada requisição. A limpeza que vem depois trata dados incompletos como válidos.

Na CVE-2026-109619, dados de uma requisição continuam apontando para memória já liberada, e a requisição seguinte, atendida pelo mesmo processo, pode usá-los. O projeto deu nota 9,2 às duas na escala de gravidade CVSS 4.0.

Segundo o aviso do projeto PHP, toda instalação que atende requisições web e ainda não recebeu a correção está em risco. Ainda segundo o aviso, o risco é maior no servidor Apache com mod_php, onde um pedido sem login pode acionar uma exploração demonstrada antes de qualquer código do aplicativo.

A empresa de segurança Wiz demonstrou, com o script php2shell, a execução de código sem login em WordPress, Drupal e Joomla, plataformas de criação de sites. Os testes usaram as imagens mais recentes dos aplicativos na época.

Para a empresa, a falha está no próprio PHP e pode atingir sites mesmo quando o código do aplicativo é seguro. A empresa diz ter encontrado a primeira falha em 19 de agosto, com apoio de modelos de inteligência artificial.

A cifra de 70%

O texto da Wiz traz no título que as falhas afetam 70% da internet. No corpo, diz que o PHP está por trás de 70% de todos os sites do mundo. Na estimativa de 22 de outubro da W3Techs, 69,3% dos sites com linguagem de servidor conhecida usam PHP.

Essa cifra mede o uso do PHP. Quantos desses sites seguem com a falha aberta depende da versão instalada e de a correção já ter sido aplicada.

Pela divisão por versão da mesma pesquisa, 26,9% dos sites PHP rodam a versão 7 e 7,7% a versão 5, ambas fora do suporte do projeto. A maioria está na 8, que a pesquisa não divide por subversão, e as linhas 8.0 e 8.1 já deixaram de receber atualizações.

Exploração e defesa

A rede de armadilhas digitais da Amazon registrou uma tentativa de exploração em 17 de outubro, quatro dias antes do lançamento da correção. Outras vieram entre 2h e 8h UTC de 21 de outubro, antes do lançamento das 14h UTC, e a empresa diz não ser claro se alguma funcionaria em sistemas reais.

Depois do lançamento, provas de conceito surgiram em horas e foram usadas contra os sensores da empresa quase de imediato. Para a Amazon, as falhas já estão sendo exploradas de forma ampla.

Segundo o diretor de tecnologia da Cloudflare, Dane Knecht, os sites que passam pela empresa, inclusive nos planos gratuitos, já têm regras de firewall. Em publicação na rede X de 21 de outubro, ele chamou as regras de paliativo e disse que a empresa vê ataques iniciais surgindo.

Em ambiente real, a Rapid7 não observou exploração, embora haja relatos de tentativas, em texto publicado em 21 de outubro e atualizado em 22 de outubro.

Para a Rapid7, as provas de conceito públicas, códigos que demonstram o ataque, só funcionam em combinações específicas de sistema operacional, versão do PHP e servidor web. Um método mais portátil pode surgir a qualquer momento, acrescenta.

Há códigos de ataque confiáveis contra mod_php e PHP-FPM, afirma a Calif, equipe que diz ter encontrado parte das falhas. Os caminhos de exploração variam com a versão do PHP, mas funcionam em configurações padrão, segundo ela.

Em aplicativos como WordPress, Drupal, Joomla, Magento e outros, em versões específicas, a Calif afirma ter confirmado execução remota de código sem login.

Atualização e suporte

O projeto recomenda atualizar de imediato e diz que distribuições Linux e fornecedores de suporte estendido receberam as correções com antecedência. Em hospedagem de terceiros, vale perguntar ao provedor qual versão do PHP roda no plano e se a correção já foi aplicada.

A 8.1 e as anteriores já não recebem atualizações regulares do projeto, que orienta consultar o fornecedor ou migrar para uma versão do PHP com suporte.

Segundo o aviso do projeto, a equipe de segurança do PHP divulgou correções mínimas em código-fonte das versões 7.4, 8.0 e 8.1. Elas se destinam a quem compila o PHP ou não tem fornecedor de suporte estendido.

A Tenable classifica as versões de 5.4 a 7.3 como fim de vida, sem correção do projeto. Segundo a Calif, o trecho de código afetado mais antigo que ela achou está no PHP 5.4.0.

Para quem não pode atualizar já, o aviso lista ajustes, como limitar o tamanho dos envios de formulários e desligar o acompanhamento de uploads, com reinício dos processos. Eles reduzem a exposição a caminhos específicos de ataque sem tornar a instalação segura; só a atualização resolve.

Entre as linhas com correção, a 8.2 recebe atualizações de segurança até 31 de dezembro de 2026. A 8.3 vai até o mesmo dia de 2027, a 8.4 até o de 2028 e a 8.5 até o de 2029.