Vulnerabilidade crítica no PHP: veja os riscos e como proteger seu servidor

Vulnerabilidades críticas no PHP acendem alerta para servidores e aplicações web

O PHP, uma das tecnologias mais utilizadas no desenvolvimento de sites e aplicações web, recebeu atualizações de segurança para corrigir duas vulnerabilidades críticas que podem permitir que um invasor execute código remotamente em servidores vulneráveis, sem precisar se autenticar.

As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, foram divulgadas em 21 de outubro de 2026. O projeto oficial do PHP recomendou a atualização imediata das instalações afetadas.

O alerta merece atenção especial de empresas, desenvolvedores, administradores de sistemas e usuários que mantêm sites, lojas virtuais, APIs ou aplicações em servidores conectados à internet.

O problema não se limita a um sistema operacional ou a um painel de hospedagem específico: diferentes formas de executar o PHP no servidor podem estar envolvidas.

O que são as vulnerabilidades identificadas no PHP?

As duas falhas estão relacionadas ao gerenciamento interno de memória e de estados durante o processamento das requisições.

Embora tenham causas técnicas diferentes, ambas podem abrir caminho para a execução remota de código em determinadas condições.

CVE-2026-109618: falha no tratamento de falta de memória

A primeira vulnerabilidade está relacionada ao tratamento de situações em que o PHP fica sem memória disponível.

Em determinadas circunstâncias, uma interrupção durante esse processo pode deixar estruturas internas em um estado inconsistente. O tratamento posterior da requisição pode então utilizar dados que não foram inicializados corretamente.

Sob condições específicas, essa falha pode ser explorada para executar código no servidor.

CVE-2026-109619: uso de estado interno após a liberação da memória

A segunda vulnerabilidade envolve informações internas que podem continuar referenciando uma área de memória depois que ela já foi liberada.

Se esse estado não for devidamente reinicializado, uma requisição posterior pode utilizar informações inválidas. Dependendo das condições de execução, isso também pode permitir a execução remota de código.

As duas vulnerabilidades foram classificadas como críticas, e as atualizações correspondentes já foram disponibilizadas pelo projeto PHP.

Quais versões do PHP estão vulneráveis?

De acordo com o aviso oficial, as versões anteriores às seguintes correções devem ser tratadas como potencialmente vulneráveis, respeitando a respectiva linha de desenvolvimento e eventuais correções fornecidas por distribuidores.

As versões PHP 8.1 e anteriores chegaram ao fim do suporte regular do projeto. Algumas distribuições Linux e fornecedores de suporte estendido podem disponibilizar correções específicas, por isso é necessário verificar a procedência e o estado dos pacotes instalados.

Importante: utilizar uma versão antiga não significa necessariamente que um servidor já foi invadido. Significa que é necessário verificar a versão efetivamente instalada, o suporte disponível e a aplicação das correções de segurança.

Quais são os riscos para sites e aplicações?

Uma exploração bem-sucedida pode comprometer a execução do PHP e, conforme as permissões do processo e o isolamento do ambiente, permitir ações como:

• Executar comandos ou código malicioso no servidor.
• Acessar arquivos que estejam disponíveis para o processo comprometido.
• Expor informações sensíveis acessíveis à aplicação.
• Alterar arquivos e componentes de um site.
• Interromper serviços ou comprometer aplicações hospedadas no mesmo ambiente.

O impacto real depende da configuração do servidor, das permissões concedidas ao PHP e das medidas de isolamento existentes.

Sites em WordPress, lojas virtuais, sistemas empresariais e APIs que utilizam PHP devem entrar no processo de verificação. Isso não significa que todas essas aplicações tenham uma falha própria: o risco pode estar no ambiente PHP subjacente.

Como verificar a versão do PHP no servidor?

Se você administra uma VPS Linux, pode começar verificando a versão disponível no terminal:

php -v

O comando apresenta a versão do PHP acessível pela linha de comando.

Entretanto, existe um detalhe importante: a versão do PHP no terminal pode ser diferente daquela utilizada pelo site.

Em ambientes com PHP-FPM, Apache, múltiplas versões do PHP ou painéis de hospedagem, verifique também a versão associada ao domínio e ao serviço que processa as requisições web.

Em servidores gerenciados, consulte o painel de controle ou solicite a confirmação ao fornecedor da hospedagem.

Evite publicar arquivos de diagnóstico com phpinfo() na internet para fazer essa verificação. Eles podem revelar informações sensíveis sobre a configuração do servidor.

Como corrigir a vulnerabilidade PHP?

A medida principal é instalar uma versão corrigida e compatível com a aplicação.

1. Identifique a instalação utilizada pelo site

Verifique a versão efetivamente utilizada pela aplicação, o serviço responsável por executar o PHP e a origem do pacote instalado.

2. Faça backup e planeje a atualização

Antes de atualizar ambientes de produção, confirme a existência de backups válidos e, quando possível, teste a mudança em um ambiente de homologação.

3. Atualize pelos canais oficiais

Em distribuições Linux, utilize os repositórios oficiais e os procedimentos recomendados pelo fornecedor. Em ambientes gerenciados, verifique se a correção já foi aplicada.

Não instale pacotes aleatórios nem substitua arquivos binários manualmente sem avaliar as dependências.

4. Reinicie ou recarregue os serviços necessários

Depois da atualização, siga as instruções do fornecedor para garantir que os processos antigos não continuem executando a versão vulnerável.

5. Confirme a correção

Verifique novamente a versão do PHP e a versão do serviço web. Teste as funcionalidades essenciais da aplicação e monitore os registros do servidor em busca de erros ou atividades suspeitas.

Se houver indícios de comprometimento, atualizar o PHP não será suficiente por si só: será necessário investigar a possível invasão, preservar evidências e revisar credenciais e arquivos afetados.

E se não for possível atualizar imediatamente?

A atualização para uma versão corrigida é a solução recomendada. As medidas temporárias de mitigação publicadas pelo projeto PHP podem reduzir a exposição a determinados caminhos de exploração, mas não tornam uma instalação vulnerável completamente segura.

O ajuste de session.upload_progress.enabled=0, por exemplo, é uma das medidas recomendadas para determinados caminhos relacionados à segunda falha. Ele precisa ser aplicado na configuração apropriada do servidor e acompanhado do reinício dos processos afetados.

Outras mitigações dependem da vulnerabilidade, do serviço utilizado e da configuração da aplicação. Não existe uma única alteração que substitua a instalação das correções oficiais.

Por isso, ambientes expostos à internet devem receber prioridade, e qualquer mitigação temporária deve ser acompanhada de um plano para aplicar a atualização definitiva.

Segurança de servidores exige monitoramento contínuo

O episódio reforça uma lição importante: manter um site disponível não é o mesmo que manter sua infraestrutura segura.

Além de acompanhar alertas de segurança, administradores devem manter o sistema operacional e seus componentes atualizados, aplicar o princípio do menor privilégio, limitar o acesso administrativo, manter backups testados e monitorar atividades suspeitas.

Também é recomendável revisar regularmente as versões de PHP utilizadas por aplicações, painéis de controle, contêineres e serviços que possam ter seus próprios componentes instalados.

Conclusão

As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 mostram como falhas em componentes fundamentais podem representar riscos para aplicações que dependem deles.

A recomendação é objetiva: identifique as instalações PHP utilizadas, confirme se as correções estão aplicadas e priorize os serviços expostos à internet.

Na VPS Brasil, recomendamos que administradores tratem atualizações de segurança como parte da rotina de manutenção da infraestrutura, com verificações periódicas, backups confiáveis e monitoramento contínuo.

Fontes oficiais para consulta:

• Projeto PHP — Aviso de segurança e versões corrigidas
• Governo Federal — Alerta 93/2026 sobre vulnerabilidades críticas no PHP
• Google Cloud — Análise das vulnerabilidades críticas do PHP

Conteúdo informativo. A aplicação das correções deve considerar a distribuição Linux, o ambiente de execução e a compatibilidade da aplicação hospedada.

wadsonlucas