21 Out 2026 - Alerta de Vulnerabilidade – PHP
Descrição
Foram identificadas duas vulnerabilidades críticas de execução remota de código no PHP, corrigidas na release de emergência de 21 de outubro de 2026, ambas com CVSS v4.0 de 9.2/10 [1]. As vulnerabilidades são:
- CVE-2026-109618: o tratamento de situações de falta de memória pode interromper o PHP quando os dados internos do pedido estão apenas parcialmente inicializados, podendo esses dados ser tratados como válidos na limpeza subsequente [1][2];
- CVE-2026-109619: estado interno associado a um pedido pode subsistir depois de a memória que o suporta ter sido libertada, e ser utilizado por um pedido posterior tratado pelo mesmo worker [1][3].
São afetadas todas as instalações que servem pedidos web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. A equipa de segurança do PHP identifica o mod_php como o cenário de maior risco, tendo validado a execução de código contra essa configuração com os limites de memória e de input predefinidos [1][2].
São afetadas as seguintes versões [1]: • PHP 8.5: versões anteriores à 8.5.12 • PHP 8.4: versões anteriores à 8.4.27 • PHP 8.3: versões anteriores à 8.3.36 • PHP 8.2: versões anteriores à 8.2.35 • PHP 8.1 e anteriores: todas as versões