O projeto PHP publicou, na quarta-feira, 21 de outubro de 2026, às 14h00 UTC, as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 da sua linguagem de programação. Estas corrigem duas vulnerabilidades, CVE-2026-109618 e CVE-2026-109619, classificadas com 9,2 na escala CVSS v4.0, que podem permitir a execução remota de código sem autenticação. Um identificador CVE designa uma falha de segurança referenciada, e a pontuação CVSS mede a sua gravidade.
De acordo com o editor, todas as instalações que servem pedidos web estão afetadas, sob PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP ou LiteSpeed, sendo o risco considerado mais elevado com mod_php. No mesmo dia, o CERT-FR atualizou o seu alerta CERTFR-2026-ALE-014, e o Ministério do Interior desativou os seus sites expostos, incluindo as prefeituras. A cronologia publicada pela PHP Foundation indica que a falha subjacente à primeira vulnerabilidade foi identificada desde 2024, sem vetor de exploração conhecido.
Uma falha detetada durante a auditoria de 2024
Em 2024, o PHP passou pela sua primeira auditoria de segurança externa em anos. Financiada pela Sovereign Tech Agency alemã, organizada pela OSTIF e realizada pela empresa francesa Quarkslab, esta auditoria levou um desenvolvedor do núcleo do PHP a detetar, ao corrigir um dos problemas reportados, os primeiros sinais de uma falha relacionada com erros de esgotamento de memória (out-of-memory). Uma exploração foi então teorizada, sem vetor concreto.
A correção deparou-se depois com arbitragens. Cada abordagem considerada quebrava a compatibilidade, abria um risco de negação de serviço ou impunha modificações a muitas extensões de terceiros, impossíveis de coordenar. A equipa de segurança, que decide por consenso, viu o trabalho «parar e reiniciar várias vezes ao longo de meses». A fundação escreve que «o atraso foi uma falha estrutural», devida a este modo de decisão e a uma falta de recursos.
Calif, OpenAI e Wiz: um verão de demonstrações
No âmbito do programa Patch the Planet, a empresa Calif iniciou uma auditoria ao PHP a 30 de julho de 2026. A 11 de agosto, o seu investigador Ryan A. reportou uma execução remota de código incondicional, com a mesma causa raiz que a falha de 2024. A OpenAI, cuja equipa Codex Security é mencionada pela fundação, reportou a mesma causa no mesmo dia. A Wiz Research seguiu-se a 24 de agosto com outros vetores de ataque. A partir de 11 de agosto, escreve a fundação, a correção tornou-se a prioridade de toda a sua equipa de segurança.
A Wiz indica ter usado a sua ferramenta Wiz Atlas, o Gemini 4 Argon da Google e o GPT-5.6 Sol da OpenAI. A sua cronologia coloca a descoberta da primeira vulnerabilidade a 19 de agosto, a execução de código confirmada a 20 de agosto no Drupal e a 21 no WordPress, e o reporte ao PHP a 24. Segundo a empresa, um único investigador, com estes modelos, concluiu numa semana o que exigiria meses a uma equipa de topo. A fundação regista ainda 15 CVE publicadas desde 1 de julho e mais de 100 reportes descartados, por inválidos, duplicados ou irreprodutíveis.
A saída estava prevista para 22 de outubro. A 20 de outubro, por volta das 15h00 UTC, os dois identificadores CVE começaram a circular em fóruns e redes sociais, com uma hora de lançamento errada e uma pontuação CVSS falsa de 10. Segundo a fundação, nenhum detalhe técnico foi divulgado. O PHP antecipou o pré-anúncio e a publicação para 21 de outubro. A Chainguard publicou, a 21 de outubro às 07h41 UTC, imagens integrando a correção mais de seis horas antes do lançamento, o que a fundação qualifica como uma quebra unilateral do embargo.
Isolar e depois migrar, a recomendação do CERT-FR
O CERT-FR lista como afetadas todas as versões 5.x, 6.x, 7.x, 8.0.x e 8.1.x, bem como os ramos 8.2 a 8.5 anteriores às versões corrigidas. Para os ramos que o editor já não mantém, recomenda isolar os equipamentos e depois migrar para uma versão mantida. Os contornos temporários, por configuração do PHP ou numa firewall de aplicação, não são qualificados pelo CERT-FR. Segundo a Anssi, mais de 600 000 servidores usam PHP na Internet francesa. O Ministério do Interior colocou em manutenção preventiva os seus sites expostos, segundo uma declaração reportada pela AFP. A 22 de outubro às 08h33, hora de Paris, o site da CNIL e o impots.gouv.fr exibiam uma página de manutenção, tal como o da prefeitura de Seine-Saint-Denis. Nenhuma destas páginas menciona o PHP.
A Cloudflare diz ter observado tráfego de ataque visando os seus clientes, e atacantes a modificarem os seus pedidos para contornar as suas regras de filtragem. Segundo a fundação, nenhum exploit funcional tinha sido identificado no momento da publicação. Na data indicada, nenhuma das fontes citadas reporta uma intrusão bem-sucedida.
As versões mantidas receberam a sua correção no dia da divulgação. O principal risco diz respeito aos servidores ainda em PHP 8.1 ou anterior, que o projeto já não atualiza. Para o PHP 7.4, 8.0 e 8.1, a sua equipa de segurança forneceu retroportes mínimos, destinados a quem compila a partir das fontes. A PHP Foundation pede às empresas, fornecedores de alojamento e administrações que dependem do PHP que a financiem, pois a segurança do motor depende ainda, escreve, de «um pequeno grupo de desenvolvedores financiados pela fundação e de alguma ajuda voluntária».
