PHP corrige CVE-2026-109618

A equipe do PHP publicou correções para as CVEs-2026-109618 e CVE-2026-109619 no PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. CERT-EU, o Centro Canadense de Cibersegurança, AWS, Google, Red Hat e ENISA concordaram que se trata de falhas críticas que podem permitir execução remota de código em sistemas PHP afetados, com impacto sobre versões anteriores dessas linhas.

O que as novas versões do PHP corrigiram?

As versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 incorporam os patches para os dois CVEs. O Centro Canadense de Cibersegurança informou que as versões anteriores dessas linhas continuam afetadas, enquanto o Google apontou como vulneráveis todas as versões do PHP de 5.4 até 8.5.11 e como corrigidas as versões já divulgadas.

CERT-EU descreveu a CVE-2026-109618 como uma vulnerabilidade de execução remota de código associada à corrupção de memória durante o tratamento de erros de falta de memória, com pontuação CVSS de 9,2. Sobre a CVE-2026-109619, o órgão disse que ela também permite execução remota de código e está ligada a um estado global obsoleto, com a mesma pontuação CVSS de 9,2.

Qual impacto técnico elas podem ter?

Várias empresas descreveram cenários distintos, mas compatíveis, de exploração. O aviso do Centro Canadense de Cibersegurança indica que as duas vulnerabilidades podem permitir que um agente remoto não autenticado execute código arbitrário em um sistema PHP afetado. A AWS acrescentou que um atacante sem autenticação pode enviar solicitações web feitas para executar código arbitrário, ler dados acessíveis ao processo ou provocar uma negação de serviço.

A Red Hat informou que as falhas surgem durante o processamento de requisições PHP e podem levar à execução arbitrária de código por um atacante remoto não autenticado. A Palo Alto Networks detalhou que a CVE-2026-109618 se relaciona ao uso de longjmp() durante erros de falta de memória, o que pode deixar memória da requisição sem inicialização, enquanto a CVE-2026-109619 deixa a memória global apontando para regiões liberadas.

Que recomendações os órgãos e fornecedores deram?

A ENISA informou que as duas vulnerabilidades podiam permitir execução remota de código sem autenticação em servidores PHP vulneráveis e recomendou priorizar os sistemas expostos à internet. Quando não fosse possível corrigi-los de imediato, orientou isolar essas máquinas de redes públicas.

A AWS disse ainda que as linhas PHP 5.4 a 8.1 não têm correção upstream publicada e exigem migração para uma linha compatível. O NCSC da Nova Zelândia recomendou aplicar imediatamente os patches do PHP e manter vigilância ativa diante de possíveis tentativas de exploração.

A Sophos informou que um exploit de prova de conceito ligado às vulnerabilidades havia sido publicado, mas o resultado disponível não confirma sua funcionalidade nem exploração ativa. A Check Point, por sua vez, publicou um advisory independente que classifica o problema como uma vulnerabilidade de execução remota de código no PHP e alerta que um atacante remoto poderia executar código arbitrário no sistema afetado.