PHP corrige CVE-2026-109618

O time do PHP publicou correções para CVE-2026-109618 e CVE-2026-109619 no PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. CERT-EU, o Centro Canadense de Cibersegurança, AWS, Google, Red Hat e ENISA concordaram que se trata de falhas críticas que podem permitir execução remota de código em sistemas PHP afetados, com impacto sobre versões anteriores dessas ramificações.

O que as novas versões do PHP corrigiram?

As versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 trazem os patches para ambos os CVEs. O Centro Canadense de Cibersegurança informou que as versões anteriores dessas ramificações permanecem afetadas, enquanto o Google apontou como vulneráveis todas as versões do PHP de 5.4 até 8.5.11 e como corrigidas as versões já publicadas.

CERT-EU descreveu a CVE-2026-109618 como uma vulnerabilidade de execução remota de código associada à corrupção de memória durante o tratamento de erros de falta de memória, com pontuação CVSS 9.2. Sobre a CVE-2026-109619, disse que ela também permite execução remota de código e está ligada a um estado global obsoleto, com a mesma pontuação CVSS 9.2.

Qual pode ser o impacto técnico?

Diferentes empresas descreveram cenários distintos, mas compatíveis, de exploração. O aviso do Centro Canadense de Cibersegurança indica que as duas vulnerabilidades podem permitir que um agente remoto não autenticado execute código arbitrário em um sistema PHP afetado. A AWS acrescentou que um atacante sem autenticação pode enviar solicitações web projetadas para executar código arbitrário, ler dados acessíveis ao processo ou provocar negação de serviço.

A Red Hat informou que as falhas surgem durante o processamento de solicitações PHP e podem levar à execução arbitrária de código por um atacante remoto não autenticado. Já a Palo Alto Networks detalhou que a CVE-2026-109618 se relaciona ao uso de longjmp() durante erros de falta de memória, o que pode deixar memória da solicitação sem inicialização, enquanto a CVE-2026-109619 deixa memória global apontando para regiões já liberadas.

Que recomendações deram os organismos e fornecedores?

A ENISA informou que as duas vulnerabilidades podiam permitir execução remota de código sem autenticação em servidores PHP vulneráveis e recomendou priorizar os sistemas expostos à internet. Quando não fosse possível corrigi-los de imediato, orientou isolar essas máquinas de redes públicas.

A AWS afirmou ainda que as ramificações PHP 5.4 a 8.1 não têm correção upstream publicada e exigem migração para uma ramificação compatível. O NCSC da Nova Zelândia recomendou aplicar imediatamente os patches do PHP e manter vigilância ativa diante de possíveis tentativas de exploração.

A Sophos relatou que um exploit de prova de conceito relacionado às vulnerabilidades havia sido publicado, mas o resultado disponível não confirma sua funcionalidade nem exploração ativa. A Check Point, por sua vez, publicou um advisory independente que classifica o problema como uma vulnerabilidade de execução remota de código no PHP e alerta que um atacante remoto poderia executar código arbitrário no sistema afetado.

CVE-2026-109618 e CVE-2026-109619 no PHP, o que foi corrigido

O PHP publicou correções para CVE-2026-109618 e CVE-2026-109619 nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. As duas falhas são críticas e podem permitir execução remota de código em sistemas PHP afetados.

CERT-EU descreveu a CVE-2026-109618 como uma vulnerabilidade de execução remota de código associada à corrupção de memória durante o tratamento de erros de falta de memória, com CVSS 9.2. Sobre a CVE-2026-109619, informou que ela também permite execução remota de código e está vinculada a um estado global obsoleto, com a mesma pontuação CVSS 9.2.

AWS, Google, Red Hat e ENISA concordaram sobre o alcance em versões anteriores dessas ramificações, enquanto o Google apontou como vulneráveis todas as versões do PHP de 5.4 até 8.5.11. A AWS acrescentou que as ramificações PHP 5.4 a 8.1 não têm correção upstream publicada e exigem migração para uma ramificação compatível.

site.cisa.gov e CVE-2026-109618 no PHP

O PHP corrigiu a CVE-2026-109618 nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A falha é crítica e pode permitir execução remota de código em sistemas PHP afetados.

CERT-EU descreveu a CVE-2026-109618 como uma vulnerabilidade associada à corrupção de memória durante o tratamento de erros de falta de memória, com pontuação CVSS de 9.2. O Google indicou como vulneráveis todas as versões do PHP de 5.4 até 8.5.11, e a AWS acrescentou que as ramificações PHP 5.4 a 8.1 não têm correção upstream publicada e exigem migração para uma ramificação compatível.