{"id":347,"date":"2026-10-25T20:04:58","date_gmt":"2026-10-25T23:04:58","guid":{"rendered":"https:\/\/blog.vpsbrasil.com.br\/?p=347"},"modified":"2026-10-25T20:07:30","modified_gmt":"2026-10-25T23:07:30","slug":"vulnerabilidade-critica-no-php-veja-os-riscos-e-como-proteger-seu-servidor","status":"publish","type":"post","link":"https:\/\/blog.vpsbrasil.com.br\/index.php\/2026\/10\/25\/vulnerabilidade-critica-no-php-veja-os-riscos-e-como-proteger-seu-servidor\/","title":{"rendered":"Vulnerabilidade cr\u00edtica no PHP: veja os riscos e como proteger seu servidor"},"content":{"rendered":"\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\">Vulnerabilidades cr\u00edticas no PHP acendem alerta para servidores e aplica\u00e7\u00f5es web<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">O PHP, uma das tecnologias mais utilizadas no desenvolvimento de sites e aplica\u00e7\u00f5es web, recebeu atualiza\u00e7\u00f5es de seguran\u00e7a para corrigir duas vulnerabilidades cr\u00edticas que podem permitir que um invasor execute c\u00f3digo remotamente em servidores vulner\u00e1veis, sem precisar se autenticar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">As falhas, identificadas como <strong>CVE-2026-109618 e CVE-2026-109619<\/strong>, foram divulgadas em 21 de outubro de 2026. O projeto oficial do PHP recomendou a atualiza\u00e7\u00e3o imediata das instala\u00e7\u00f5es afetadas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">O alerta merece aten\u00e7\u00e3o especial de empresas, desenvolvedores, administradores de sistemas e usu\u00e1rios que mant\u00eam sites, lojas virtuais, APIs ou aplica\u00e7\u00f5es em servidores conectados \u00e0 internet.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">O problema n\u00e3o se limita a um sistema operacional ou a um painel de hospedagem espec\u00edfico: diferentes formas de executar o PHP no servidor podem estar envolvidas.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">O que s\u00e3o as vulnerabilidades identificadas no PHP?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">As duas falhas est\u00e3o relacionadas ao gerenciamento interno de mem\u00f3ria e de estados durante o processamento das requisi\u00e7\u00f5es.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Embora tenham causas t\u00e9cnicas diferentes, ambas podem abrir caminho para a execu\u00e7\u00e3o remota de c\u00f3digo em determinadas condi\u00e7\u00f5es.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">CVE-2026-109618: falha no tratamento de falta de mem\u00f3ria<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">A primeira vulnerabilidade est\u00e1 relacionada ao tratamento de situa\u00e7\u00f5es em que o PHP fica sem mem\u00f3ria dispon\u00edvel.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Em determinadas circunst\u00e2ncias, uma interrup\u00e7\u00e3o durante esse processo pode deixar estruturas internas em um estado inconsistente. O tratamento posterior da requisi\u00e7\u00e3o pode ent\u00e3o utilizar dados que n\u00e3o foram inicializados corretamente.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sob condi\u00e7\u00f5es espec\u00edficas, essa falha pode ser explorada para executar c\u00f3digo no servidor.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">CVE-2026-109619: uso de estado interno ap\u00f3s a libera\u00e7\u00e3o da mem\u00f3ria<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">A segunda vulnerabilidade envolve informa\u00e7\u00f5es internas que podem continuar referenciando uma \u00e1rea de mem\u00f3ria depois que ela j\u00e1 foi liberada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Se esse estado n\u00e3o for devidamente reinicializado, uma requisi\u00e7\u00e3o posterior pode utilizar informa\u00e7\u00f5es inv\u00e1lidas. Dependendo das condi\u00e7\u00f5es de execu\u00e7\u00e3o, isso tamb\u00e9m pode permitir a execu\u00e7\u00e3o remota de c\u00f3digo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">As duas vulnerabilidades foram classificadas como cr\u00edticas, e as atualiza\u00e7\u00f5es correspondentes j\u00e1 foram disponibilizadas pelo projeto PHP.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Quais vers\u00f5es do PHP est\u00e3o vulner\u00e1veis?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">De acordo com o aviso oficial, as vers\u00f5es anteriores \u00e0s seguintes corre\u00e7\u00f5es devem ser tratadas como potencialmente vulner\u00e1veis, respeitando a respectiva linha de desenvolvimento e eventuais corre\u00e7\u00f5es fornecidas por distribuidores.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><tbody><tr><th>Linha do PHP<\/th><th>Vers\u00e3o corrigida<\/th><\/tr><tr><td>PHP 8.5<\/td><td>8.5.12<\/td><\/tr><tr><td>PHP 8.4<\/td><td>8.4.27<\/td><\/tr><tr><td>PHP 8.3<\/td><td>8.3.36<\/td><\/tr><tr><td>PHP 8.2<\/td><td>8.2.35<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">As vers\u00f5es PHP 8.1 e anteriores chegaram ao fim do suporte regular do projeto. Algumas distribui\u00e7\u00f5es Linux e fornecedores de suporte estendido podem disponibilizar corre\u00e7\u00f5es espec\u00edficas, por isso \u00e9 necess\u00e1rio verificar a proced\u00eancia e o estado dos pacotes instalados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Importante:<\/strong> utilizar uma vers\u00e3o antiga n\u00e3o significa necessariamente que um servidor j\u00e1 foi invadido. Significa que \u00e9 necess\u00e1rio verificar a vers\u00e3o efetivamente instalada, o suporte dispon\u00edvel e a aplica\u00e7\u00e3o das corre\u00e7\u00f5es de seguran\u00e7a.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Quais s\u00e3o os riscos para sites e aplica\u00e7\u00f5es?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Uma explora\u00e7\u00e3o bem-sucedida pode comprometer a execu\u00e7\u00e3o do PHP e, conforme as permiss\u00f5es do processo e o isolamento do ambiente, permitir a\u00e7\u00f5es como:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Executar comandos ou c\u00f3digo malicioso no servidor.<\/li>\n\n\n\n<li>Acessar arquivos que estejam dispon\u00edveis para o processo comprometido.<\/li>\n\n\n\n<li>Expor informa\u00e7\u00f5es sens\u00edveis acess\u00edveis \u00e0 aplica\u00e7\u00e3o.<\/li>\n\n\n\n<li>Alterar arquivos e componentes de um site.<\/li>\n\n\n\n<li>Interromper servi\u00e7os ou comprometer aplica\u00e7\u00f5es hospedadas no mesmo ambiente.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">O impacto real depende da configura\u00e7\u00e3o do servidor, das permiss\u00f5es concedidas ao PHP e das medidas de isolamento existentes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sites em WordPress, lojas virtuais, sistemas empresariais e APIs que utilizam PHP devem entrar no processo de verifica\u00e7\u00e3o. Isso n\u00e3o significa que todas essas aplica\u00e7\u00f5es tenham uma falha pr\u00f3pria: o risco pode estar no ambiente PHP subjacente.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Como verificar a vers\u00e3o do PHP no servidor?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Se voc\u00ea administra uma VPS Linux, pode come\u00e7ar verificando a vers\u00e3o dispon\u00edvel no terminal:<\/p>\n\n\n<pre class=\"wp-block-code\"><span><code class=\"hljs\">php -v<\/code><\/span><\/pre>\n\n\n<p class=\"wp-block-paragraph\">O comando apresenta a vers\u00e3o do PHP acess\u00edvel pela linha de comando.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Entretanto, existe um detalhe importante: <strong>a vers\u00e3o do PHP no terminal pode ser diferente daquela utilizada pelo site<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Em ambientes com PHP-FPM, Apache, m\u00faltiplas vers\u00f5es do PHP ou pain\u00e9is de hospedagem, verifique tamb\u00e9m a vers\u00e3o associada ao dom\u00ednio e ao servi\u00e7o que processa as requisi\u00e7\u00f5es web.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Em servidores gerenciados, consulte o painel de controle ou solicite a confirma\u00e7\u00e3o ao fornecedor da hospedagem.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Evite publicar arquivos de diagn\u00f3stico com <code>phpinfo()<\/code> na internet para fazer essa verifica\u00e7\u00e3o. Eles podem revelar informa\u00e7\u00f5es sens\u00edveis sobre a configura\u00e7\u00e3o do servidor.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Como corrigir a vulnerabilidade PHP?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A medida principal \u00e9 instalar uma vers\u00e3o corrigida e compat\u00edvel com a aplica\u00e7\u00e3o.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">1. Identifique a instala\u00e7\u00e3o utilizada pelo site<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Verifique a vers\u00e3o efetivamente utilizada pela aplica\u00e7\u00e3o, o servi\u00e7o respons\u00e1vel por executar o PHP e a origem do pacote instalado.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">2. Fa\u00e7a backup e planeje a atualiza\u00e7\u00e3o<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Antes de atualizar ambientes de produ\u00e7\u00e3o, confirme a exist\u00eancia de backups v\u00e1lidos e, quando poss\u00edvel, teste a mudan\u00e7a em um ambiente de homologa\u00e7\u00e3o.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">3. Atualize pelos canais oficiais<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Em distribui\u00e7\u00f5es Linux, utilize os reposit\u00f3rios oficiais e os procedimentos recomendados pelo fornecedor. Em ambientes gerenciados, verifique se a corre\u00e7\u00e3o j\u00e1 foi aplicada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">N\u00e3o instale pacotes aleat\u00f3rios nem substitua arquivos bin\u00e1rios manualmente sem avaliar as depend\u00eancias.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">4. Reinicie ou recarregue os servi\u00e7os necess\u00e1rios<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Depois da atualiza\u00e7\u00e3o, siga as instru\u00e7\u00f5es do fornecedor para garantir que os processos antigos n\u00e3o continuem executando a vers\u00e3o vulner\u00e1vel.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">5. Confirme a corre\u00e7\u00e3o<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Verifique novamente a vers\u00e3o do PHP e a vers\u00e3o do servi\u00e7o web. Teste as funcionalidades essenciais da aplica\u00e7\u00e3o e monitore os registros do servidor em busca de erros ou atividades suspeitas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Se houver ind\u00edcios de comprometimento, atualizar o PHP n\u00e3o ser\u00e1 suficiente por si s\u00f3: ser\u00e1 necess\u00e1rio investigar a poss\u00edvel invas\u00e3o, preservar evid\u00eancias e revisar credenciais e arquivos afetados.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">E se n\u00e3o for poss\u00edvel atualizar imediatamente?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A atualiza\u00e7\u00e3o para uma vers\u00e3o corrigida \u00e9 a solu\u00e7\u00e3o recomendada. As medidas tempor\u00e1rias de mitiga\u00e7\u00e3o publicadas pelo projeto PHP podem reduzir a exposi\u00e7\u00e3o a determinados caminhos de explora\u00e7\u00e3o, mas n\u00e3o tornam uma instala\u00e7\u00e3o vulner\u00e1vel completamente segura.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">O ajuste de <code>session.upload_progress.enabled=0<\/code>, por exemplo, \u00e9 uma das medidas recomendadas para determinados caminhos relacionados \u00e0 segunda falha. Ele precisa ser aplicado na configura\u00e7\u00e3o apropriada do servidor e acompanhado do rein\u00edcio dos processos afetados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Outras mitiga\u00e7\u00f5es dependem da vulnerabilidade, do servi\u00e7o utilizado e da configura\u00e7\u00e3o da aplica\u00e7\u00e3o. N\u00e3o existe uma \u00fanica altera\u00e7\u00e3o que substitua a instala\u00e7\u00e3o das corre\u00e7\u00f5es oficiais.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por isso, ambientes expostos \u00e0 internet devem receber prioridade, e qualquer mitiga\u00e7\u00e3o tempor\u00e1ria deve ser acompanhada de um plano para aplicar a atualiza\u00e7\u00e3o definitiva.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Seguran\u00e7a de servidores exige monitoramento cont\u00ednuo<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">O epis\u00f3dio refor\u00e7a uma li\u00e7\u00e3o importante: manter um site dispon\u00edvel n\u00e3o \u00e9 o mesmo que manter sua infraestrutura segura.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Al\u00e9m de acompanhar alertas de seguran\u00e7a, administradores devem manter o sistema operacional e seus componentes atualizados, aplicar o princ\u00edpio do menor privil\u00e9gio, limitar o acesso administrativo, manter backups testados e monitorar atividades suspeitas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tamb\u00e9m \u00e9 recomend\u00e1vel revisar regularmente as vers\u00f5es de PHP utilizadas por aplica\u00e7\u00f5es, pain\u00e9is de controle, cont\u00eaineres e servi\u00e7os que possam ter seus pr\u00f3prios componentes instalados.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Conclus\u00e3o<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 mostram como falhas em componentes fundamentais podem representar riscos para aplica\u00e7\u00f5es que dependem deles.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A recomenda\u00e7\u00e3o \u00e9 objetiva: identifique as instala\u00e7\u00f5es PHP utilizadas, confirme se as corre\u00e7\u00f5es est\u00e3o aplicadas e priorize os servi\u00e7os expostos \u00e0 internet.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Na VPS Brasil, recomendamos que administradores tratem atualiza\u00e7\u00f5es de seguran\u00e7a como parte da rotina de manuten\u00e7\u00e3o da infraestrutura, com verifica\u00e7\u00f5es peri\u00f3dicas, backups confi\u00e1veis e monitoramento cont\u00ednuo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Fontes oficiais para consulta:<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Projeto PHP \u2014 <a href=\"https:\/\/www.php.net\/archive\/2026.php\" target=\"_blank\" rel=\"noopener\">Aviso de seguran\u00e7a e vers\u00f5es corrigidas<\/a><\/li>\n\n\n\n<li>Governo Federal \u2014 <a href=\"https:\/\/www.gov.br\/gsi\/pt-br\/assuntos\/ctir\/alertas\/2026\/alerta-93-2026\" target=\"_blank\" rel=\"noopener\">Alerta 93\/2026 sobre vulnerabilidades cr\u00edticas no PHP<\/a><\/li>\n\n\n\n<li>Google Cloud \u2014 <a href=\"https:\/\/cloud.google.com\/blog\/products\/identity-security\/responding-to-core-php-vulnerabilities-cve-2026-109618-cve-2026-109619\" target=\"_blank\" rel=\"noopener\">An\u00e1lise das vulnerabilidades cr\u00edticas do PHP<\/a><\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\"><em>Conte\u00fado informativo. A aplica\u00e7\u00e3o das corre\u00e7\u00f5es deve considerar a distribui\u00e7\u00e3o Linux, o ambiente de execu\u00e7\u00e3o e a compatibilidade da aplica\u00e7\u00e3o hospedada.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Vulnerabilidades cr\u00edticas no PHP acendem alerta para servidores e aplica\u00e7\u00f5es web O PHP, uma das tecnologias mais utilizadas no desenvolvimento de sites e aplica\u00e7\u00f5es web, recebeu atualiza\u00e7\u00f5es de seguran\u00e7a para corrigir duas vulnerabilidades cr\u00edticas que podem permitir que um invasor execute c\u00f3digo remotamente em servidores vulner\u00e1veis, sem precisar se autenticar. As falhas, identificadas como CVE-2026-109618 [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":348,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1,2],"tags":[40,41,35,39,37,38,36],"class_list":["post-347","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-dicas","category-tutoriais","tag-atualizacao-php","tag-ciberseguranca","tag-php","tag-php-rce","tag-seguranca-de-servidores","tag-vps-linux","tag-vulnerabilidade-php"],"_links":{"self":[{"href":"https:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/posts\/347","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/comments?post=347"}],"version-history":[{"count":2,"href":"https:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/posts\/347\/revisions"}],"predecessor-version":[{"id":350,"href":"https:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/posts\/347\/revisions\/350"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/media\/348"}],"wp:attachment":[{"href":"https:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/media?parent=347"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/categories?post=347"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.vpsbrasil.com.br\/index.php\/wp-json\/wp\/v2\/tags?post=347"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}