Falhas CVE-2026-109618 e CVE-2026-109619 podem permitir execução remota de código em servidores vulneráveis. Entenda os riscos, as versões afetadas e as medidas recomendadas para proteger os ambientes corporativos.
Em 21 de outubro de 2026, o projeto PHP disponibilizou atualizações emergenciais para corrigir duas vulnerabilidades críticas que colocaram equipes de tecnologia e cibersegurança em alerta.
Identificadas como CVE-2026-109618 e CVE-2026-109619, as falhas receberam pontuação de severidade 9,2 no CVSS v4.0 e podem permitir que atacantes executem código remotamente em servidores vulneráveis, sem necessidade de autenticação prévia, em determinadas condições.
O PHP é uma linguagem amplamente utilizada no desenvolvimento de sites, portais corporativos, plataformas de comércio eletrônico e aplicações web. Por isso, vulnerabilidades em seu funcionamento podem representar riscos para organizações de diferentes segmentos.
O principal ponto de atenção está na necessidade de identificar rapidamente quais ambientes utilizam versões afetadas, avaliar sua exposição e aplicar as correções necessárias.
Com base na análise técnica compartilhada por Eduardo Ventz Xavier, do time de CSIRT da Soow Sigma, reunimos os principais pontos que as empresas precisam conhecer sobre essas vulnerabilidades.
O que são as vulnerabilidades CVE-2026-109618 e CVE-2026-109619?
As duas falhas estão relacionadas ao gerenciamento de memória do PHP, mas apresentam características diferentes.
CVE-2026-109618: falha no tratamento de memória insuficiente
Essa vulnerabilidade ocorre quando o PHP enfrenta uma condição de falta de memória durante uma operação, podendo interromper o processamento enquanto determinadas estruturas internas ainda estão parcialmente inicializadas.
Em condições específicas, essa inconsistência pode ser explorada para executar código malicioso no servidor.
CVE-2026-109619: utilização de estado interno obsoleto
A segunda vulnerabilidade envolve o uso de informações internas que permanecem referenciadas depois que a memória correspondente foi liberada.
Esse comportamento pode permitir que um atacante explore o estado inconsistente do sistema e comprometa o ambiente afetado.
Embora tenham origens técnicas distintas, ambas podem resultar em execução remota de código (RCE).
Na prática, isso significa que um invasor pode conseguir executar instruções maliciosas no servidor sem precisar de uma conta válida, dependendo das condições de exploração.
Entre os possíveis impactos estão o comprometimento de aplicações, o acesso indevido a informações e a interrupção de serviços.
É importante destacar que uma instalação vulnerável não significa que ela já tenha sido comprometida. A possibilidade de exploração depende da versão utilizada, da configuração do servidor e das características do ambiente.
Quais versões do PHP são afetadas?
As atualizações emergenciais disponibilizadas em 21 de outubro corrigem as vulnerabilidades nas seguintes versões:
| Linha do PHP | Primeira versão corrigida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Ambientes que utilizam versões anteriores às indicadas precisam ser avaliados e, quando não dispõem de correção equivalente do fornecedor, atualizados.
As linhas PHP 8.1 e anteriores não recebem mais atualizações regulares do projeto PHP. Nesses casos, é necessário avaliar a migração para versões suportadas ou verificar a disponibilidade de correções específicas fornecidas por distribuições Linux e fornecedores com suporte estendido.
A avaliação também deve considerar servidores web, containers, aplicações internas e componentes de terceiros que utilizam PHP.
Em distribuições Linux, algumas correções podem ser aplicadas por meio de backport, sem alteração do número principal da versão. Por isso, a verificação deve considerar os boletins de segurança dos fornecedores e não apenas o número exibido no ambiente.
Por que essas falhas exigem atenção imediata?
Um dos fatores que ampliaram a preocupação foi a divulgação antecipada de informações sobre as vulnerabilidades, antes da disponibilização oficial das correções.
Esse cenário aumentou a urgência da atualização, especialmente para aplicações acessíveis diretamente pela internet.
Outro ponto importante é que as falhas estão relacionadas ao próprio mecanismo de execução do PHP, e não apenas a uma aplicação específica.
Isso significa que atualizar somente o WordPress, o Laravel ou outro sistema desenvolvido em PHP não corrige necessariamente essas vulnerabilidades. É preciso avaliar e corrigir o ambiente de execução da linguagem.
A exploração também pode variar conforme a arquitetura utilizada, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
Segundo o comunicado oficial do PHP, os ambientes com Apache mod_php apresentam um cenário especialmente crítico, com possibilidade demonstrada de exploração por meio de uma requisição não autenticada.
O que as empresas devem fazer para reduzir os riscos?
Diante desse cenário, as equipes de TI e segurança devem priorizar a identificação dos ambientes afetados e a aplicação das atualizações.
A partir das recomendações técnicas analisadas pela Soow Sigma, destacam-se cinco ações:
1. Identificar todas as instalações de PHP
Mapear servidores, aplicações, containers, sistemas internos, ambientes em produção e dependências de terceiros que utilizem PHP.
2. Verificar as versões e correções aplicadas
Conferir quais ambientes utilizam versões vulneráveis e avaliar as atualizações disponibilizadas pelo projeto PHP ou pelos respectivos fornecedores.
3. Priorizar os sistemas expostos à internet
Aplicações acessíveis externamente exigem atenção especial, considerando sua criticidade para o negócio e as possibilidades de exploração.
4. Atualizar os ambientes afetados
Aplicar as versões corrigidas ou atualizações equivalentes fornecidas pelos responsáveis pela distribuição, validando o funcionamento das aplicações após a intervenção.
5. Monitorar possíveis sinais de exploração
Acompanhar logs e eventos de segurança, observando erros inesperados, falhas recorrentes de aplicação, comportamentos anormais e indícios de comprometimento.
Para sistemas que não possam ser atualizados imediatamente, medidas temporárias de proteção podem ajudar a reduzir determinados caminhos de exploração.
Entre elas estão a revisão de configurações específicas do PHP, a aplicação de regras de proteção em WAF e a restrição de exposição de aplicações vulneráveis, conforme a avaliação técnica do ambiente.
Entretanto, essas medidas não oferecem proteção completa e não substituem a atualização do PHP.
O que esse episódio revela sobre a gestão de vulnerabilidades?
Além do alerta técnico, as falhas recentes reforçam um desafio importante para as organizações: manter visibilidade sobre todas as tecnologias e versões utilizadas em seus ambientes.
Em operações com aplicações legadas, múltiplos fornecedores, serviços em nuvem e diferentes integrações, identificar rapidamente onde uma tecnologia vulnerável está presente nem sempre é uma tarefa simples.
Esse cenário evidencia a importância de uma estratégia contínua de Gestão de Vulnerabilidades, capaz de identificar exposições, avaliar criticidade e direcionar as ações de correção.
Também reforça a necessidade de integração entre diferentes capacidades de segurança.
Enquanto a gestão de vulnerabilidades contribui para identificar e priorizar exposições, o SOC 24×7 atua no monitoramento, na identificação de atividades suspeitas e na investigação de alertas.
Já o CSIRT contribui com a investigação e a resposta especializada diante de incidentes de segurança.
Essas frentes não substituem a aplicação das correções, mas contribuem para uma operação mais preparada para identificar riscos, detectar atividades maliciosas e responder a possíveis comprometimentos.
O episódio também mostra como a inteligência artificial está transformando a descoberta e a análise de vulnerabilidades. Ferramentas de IA contribuíram para demonstrar caminhos de exploração de falhas antigas no PHP, acelerando o trabalho de pesquisa em segurança.
Na análise de Eduardo Ventz Xavier, um dos aspectos mais relevantes é justamente o tempo durante o qual essas falhas permaneceram no código e o papel da IA na identificação de possibilidades de exploração.
Essa evolução exige que as organizações também acelerem seus processos de identificação, priorização e remediação, acompanhando as mudanças na velocidade da pesquisa de segurança e das ameaças.
Sua empresa sabe quais sistemas precisam ser atualizados?
As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 reforçam a importância de manter inventários atualizados, acompanhar alertas de segurança e contar com processos estruturados de gestão de vulnerabilidades.
Quando falhas críticas são divulgadas, a capacidade de identificar rapidamente os ativos afetados, priorizar correções e monitorar possíveis tentativas de exploração pode fazer diferença na continuidade da operação.
A Soow Sigma apoia empresas na evolução da maturidade em cibersegurança por meio de Assessment, Gestão de Vulnerabilidades, SOC 24×7 e CSIRT, conectando visibilidade, análise, monitoramento e resposta.
Sua organização tem visibilidade sobre as tecnologias e versões utilizadas em seus sistemas críticos?
👉 Fale com nossos especialistas e entenda como fortalecer a gestão de vulnerabilidades e reduzir a exposição da sua operação.
Contribuição técnica: Eduardo Ventz Xavier, CSIRT da Soow Sigma.
