Falha grave em linguagem PHP ameaça sites com risco de invasão e roubo de dados
Usuários devem realizar atualização emergencial para evitar execução de código remoto, roubo de dados e instalação de malware em servidores.
Por Redação Diário Local
A equipe de segurança do PHP recomendou, nesta quarta-feira (21), uma atualização emergencial de segurança para todos os usuários da linguagem de programação. O alerta é motivado por falhas graves que podem permitir que invasores executem códigos em servidores sem a necessidade de realizar login.
As vulnerabilidades identificadas trazem riscos de roubo de dados, alteração de páginas, instalação de programas maliciosos (malware) e comprometimento de outros sistemas. Dependendo das permissões e das configurações do servidor, os ataques podem até tirar sites do ar.
Um ponto de atenção é que a segurança de plataformas como o WordPress pode ser comprometida mesmo se temas e plugins estiverem atualizados. Isso ocorre porque a vulnerabilidade reside no servidor; se a versão do PHP em uso for antiga e não possuir a correção, o site continua exposto.
Quais são as falhas identificadas?
O comunicado oficial detalha duas vulnerabilidades distintas no funcionamento interno do sistema. A primeira (CVE-2026-109618) ocorre por corrupção durante o esgotamento de memória (OOM). Quando o sistema fica sem memória ao processar uma requisição, ele pode interpretar dados mal formulados como válidos, permitindo a execução remota de código.
A segunda falha (CVE-2026-109619) envolve um estado global obsoleto. Nela, informações de uma requisição permanecem na memória após serem liberadas. Quando uma nova requisição é atendida pelo mesmo processo do servidor, ela pode reutilizar esses dados indevidamente antes da reinicialização correta do estado.
O risco é considerado maior para quem utiliza o mod_php, no qual já foi demonstrado um ataque que acontece antes mesmo da execução de qualquer código da aplicação. As falhas afetam diversas instalações que processam requisições web, como PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
Como proteger o servidor?
A principal recomendação é que os usuários atualizem seus sistemas para as versões PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. O código-fonte para realizar o procedimento está disponível na página oficial de downloads do projeto.
Para as versões PHP 8.1 e anteriores, que não recebem mais atualizações regulares, a equipe de segurança disponibilizou correções mínimas (backports). Essas correções visam auxiliar usuários que compilam o software a partir do código-fonte ou que não possuem suporte de longo prazo (LTS).
Caso a atualização imediata não seja possível, o site do projeto indica medidas que podem reduzir a exposição a ataques específicos. No entanto, a equipe de segurança alerta que essas ações paliativas não tornam a instalação totalmente segura.