Foram detetadas duas vulnerabilidades críticas de execução remota de código no próprio PHP. Considerem-se todas as versões afetadas.
Asvulnerabilidades, CVE-2026-109618 e CVE-2026-109619, têm ambas uma pontuação CVSS v4.0 de 9,2. A equipa de segurança do PHP irá lançar correções a 21 de outubro de 2026, às 16:00 CEST / 10:00 EDT / 07:00 PT.
Se utilizar o PHP em qualquer parte da sua pilha de aplicações, fique atento às soluções provisórias e aos patches. Esteja preparado para tomar medidas.
Estamos a colaborar com a Fundação PHP e a comunidade de segurança para coordenar o lançamento de correções e de mais informações. Estamos a trabalhar no lançamento de imagens «Aikido » que corrigem as vulnerabilidades sem exigirem atualizações extensas.
O que aconteceu
A equipa de segurança do PHP publicou um aviso prévio a 20 de outubro, depois de terem sido divulgadas informações sobre as vulnerabilidades antes da data prevista para a divulgação. Investigadores independentes confirmaram que as falhas eram reais e a equipa do PHP antecipou o lançamento para 21 de outubro. As vulnerabilidades continuam a circular.
Fontes abertas identificaram o comportamento vulnerável fora do período de embargo, sendo mais provável que os autores de ameaças tentem explorar essa vulnerabilidade antes de as correções estarem disponíveis.
Como funcionam as vulnerabilidades
Estamos a não divulgar detalhes sobre a exploração enquanto os sistemas ainda estão a ser corrigidos. Mais informações serão disponibilizadas publicamente amanhã, juntamente com as correções, ou antes disso, caso os detalhes de qualquer uma das vulnerabilidades se tornem públicos ou surjam indícios de exploração ativa. Consulte o site do PHP para obter mais informações.
