PHP corrige duas falhas críticas encontradas com ajuda de IA; versões novas saíram em 21 de outubro
As falhas, de nota 9,2 em 10, permitem em tese executar comandos em servidores; atualizar só o WordPress não resolve.
Publicado em
A equipe do PHP, linguagem usada em muitos sites, publicou em 21 de outubro de 2026 versões de segurança. A página do lançamento 8.5.12 no php.net, traz o aviso "Critical remote code execution vulnerabilities, update now" (falhas críticas de execução remota de código; atualize já) e pede que todos os usuários da série 8.5 atualizem. Segundo o Canaltech, também saíram as versões 8.4.27, 8.3.36 e 8.2.35.
O Canaltech descreve duas falhas de gerenciamento de memória, CVE-2026-109618 e CVE-2026-109619, ambas com nota 9,2 em 10. Em certas condições, o PHP poderia continuar usando dados de memória que deveriam ter sido descartados, o que permitiria a um invasor executar comandos no servidor, dependendo da configuração. A reportagem cita ataques demonstrados contra WordPress e Drupal e diz que atualizar o WordPress ou seus plugins não corrige o problema, porque ele está no próprio PHP.
De acordo com o The Decoder, o GPT-5.6 Sol, da OpenAI, achou a falha dentro da iniciativa Patch-the-Planet, e a empresa de segurança Wiz chegou de forma independente aos mesmos problemas com apoio do Gemini 4 Argon, do Google, e do GPT-5.6 Sol. A OpenAI publicou no GitHub uma ferramenta, a php2shell-checker, para administradores verificarem se sua versão do PHP é afetada. O Canaltech informa que a divulgação foi antecipada de 22 para 21 de outubro depois que detalhes começaram a circular em redes sociais.
Contexto e impacto
Segundo o Canaltech, a equipe do PHP pede que administradores atualizem os servidores imediatamente; servidores em versões vulneráveis seguem em risco, e atualizar o WordPress ou plugins não corrige o problema. A OpenAI publicou a ferramenta php2shell-checker para verificar se uma versão do PHP é afetada, segundo o The Decoder.
A fonte não traz dados específicos sobre sites no Brasil.
Informações úteis
- Versões corrigidas
- PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 (segundo o Canaltech)
- Identificadores
- CVE-2026-109618 e CVE-2026-109619
- Nota de gravidade
- 9,2 em 10, segundo o Canaltech
- Divulgação
- 21 de outubro de 2026
O que ainda não foi confirmado: O texto do php.net não lista as falhas individualmente; números de CVE, notas e datas da investigação vêm do Canaltech, e o papel de cada modelo de IA vem do The Decoder. A estimativa de que milhões de sites seriam afetados é do The Decoder e não foi confirmada em fonte primária. O aviso de segurança do PHP não foi lido na íntegra.
Fontes
Texto produzido com apoio de inteligência artificial e conferido por rotina automática, sem revisão humana prévia. Como apuramos e como pedir correção.