PHP corrige falhas críticas, veja o impacto
Duas falhas podem permitir execução de código sem login em servidores que atendem requisições web.
Resumo rapido
Os mantenedores do PHP publicaram correções para duas vulnerabilidades críticas que podem resultar em execução remota de código sem autenticação. O problema atinge instalações PHP que recebem requisições web. As versões corrigidas são PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 e PHP 8.2.35, e a orientação é atualizar imediatamente.
Neste artigo voce vai aprender:
- Quais versões do PHP receberam correção.
- Por que a falha é grave mesmo antes do código da aplicação rodar.
- Quais ambientes PHP estão no escopo do alerta.
- Como priorizar a atualização em servidores web.
- Um checklist prático para reduzir exposição.
Quatro versões do PHP saíram de uma vez
O PHP ganhou correções para duas falhas críticas identificadas como CVE-2026-109618 e CVE-2026-109619. De acordo com o alerta publicado, elas abrem caminho para que alguém de fora execute código no servidor sem precisar de usuário e senha. Traduzindo: uma requisição comum, enviada pela internet, pode acionar o problema em instalações PHP que entregam páginas ou APIs.
As versões com correção são PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 e PHP 8.2.35. Para empresas, a leitura correta é tratar o assunto como prioridade operacional, e não como mais uma atualização de rotina na fila.
Memória interrompida e estado que sobrevive à requisição
A primeira falha nasce no tratamento de falta de memória. O PHP pode ser interrompido em um instante no qual os dados internos da requisição ainda estão incompletos. Mais adiante, durante a limpeza dessa requisição, o motor acaba tratando esses dados quebrados como se fossem confiáveis.
A segunda falha envolve estado interno remanescente. Informações associadas a uma requisição conseguem permanecer mesmo depois que a memória usada por elas foi liberada. Numa requisição seguinte, o mesmo processo de trabalho pode tentar usar esse resíduo antes que a inicialização normal corrija o cenário.
Quem deve se preocupar
O alerta abrange todas as instalações PHP que atendem requisições web. Na prática, isso cobre ambientes com:
- PHP-FPM;
- Apache com mod_php;
- php-cgi;
- FrankenPHP;
- LiteSpeed.
O risco foi descrito como mais alto no Apache com mod_php, porque existe demonstração de exploração em que uma requisição não autenticada dispara o ataque antes de qualquer código da aplicação ser executado.
Atualizar é a única resposta real
A ação principal é levar o PHP para uma versão corrigida. Não confie apenas em regras da aplicação, tela de login, validação de formulário ou bloqueios internos: a falha pode ocorrer antes de o código do site entrar em cena.
- Identifique todos os servidores que usam PHP para web.
- Verifique a versão instalada em cada ambiente.
- Priorize sistemas expostos à internet e servidores com Apache e mod_php.
- Planeje janela emergencial de atualização e validação.
- Reinicie os serviços necessários para garantir que a versão nova esteja ativa.
Checklist pratico
- Confirme se seus servidores estão em PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou versão posterior corrigida.
- Mapeie se o ambiente usa PHP-FPM, mod_php, php-cgi, FrankenPHP ou LiteSpeed.
- Atualize primeiro servidores expostos à internet e valide se os serviços reiniciaram com o PHP corrigido.
Perguntas frequentes
Todo site em PHP está vulnerável?
O alerta aponta risco para instalações PHP que servem requisições web. Isso inclui diferentes modos de execução, como PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
Aplicações com login estão protegidas?
Não necessariamente. O alerta descreve execução sem autenticação e, no caso de maior risco, a requisição aciona a falha antes do código da aplicação rodar.
Existe alternativa à atualização?
Segundo o alerta, atualizar o PHP é a forma indicada para recuperar a segurança contra essas vulnerabilidades específicas.
Proteja sua empresa com a LC SEC
A LC SEC pode ajudar sua equipe a identificar servidores PHP expostos, validar versões, priorizar correções e reduzir risco operacional em ambientes web críticos.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Compartilhe nas redes sociais:
