Em 26 de outubro de 2026, a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) incluiu CVE-2026-109618 e CVE-2026-109619 no catálogo Known Exploited Vulnerabilities (KEV), que reúne vulnerabilidades com exploração conhecida. A inclusão veio cinco dias depois de o projeto PHP publicar versões corrigidas; os relatos sobre órgãos argentinos e sites gob.ar descrevem uma resposta e sinais de uso do PHP, respectivamente.
O que a inclusão no catálogo da CISA significa
A entrada no KEV classifica as duas falhas como vulnerabilidades exploradas. O comunicado da CISA identifica os CVEs e a data da inclusão, 26 de outubro.
As falhas afetam servidores que executam PHP. Sob condições específicas, ambas podem permitir execução remota de código sem autenticação, ou seja, a execução de comandos no servidor por uma requisição enviada pela rede. A classificação no KEV não detalha ataques contra sistemas argentinos.
Os dois CVEs têm mecanismos diferentes
A The PHP Foundation descreve a CVE-2026-109618 como corrupção de memória associada ao esgotamento de memória. Em Apache com mod_php, uma requisição sem autenticação pode acionar a condição antes que o código da aplicação seja executado. A Fundação também relata demonstração de execução remota de código com as configurações padrão e confirma caminhos de exploração em aplicações com PHP-FPM.
A CVE-2026-109619 envolve estado interno de uma requisição que pode permanecer apontado para memória já liberada. Depois de um erro fatal, uma requisição seguinte atendida pelo mesmo processo de trabalho pode usar essa memória. A Fundação relata a confirmação de uso após liberação de memória e de travamento do processo; um pesquisador demonstrou execução remota de código em uma aplicação real com Apache e mod_php.
Quais versões do PHP receberam correções
Em 21 de outubro de 2026, o projeto PHP lançou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para corrigir as duas falhas. A NeoTeo já publicou uma matéria sobre as versões corrigidas e as medidas para administradores.
O aviso da BA-CSIRT, centro de cibersegurança do governo da cidade de Buenos Aires, informa que o PHP 8.1 e versões anteriores estão fora do suporte oficial do projeto e não receberam uma nova versão oficial equivalente para essas falhas. Para instalações nessas versões, a orientação é migrar para um ramo com suporte ou aplicar uma atualização de segurança fornecida pela distribuição ou pelo fornecedor responsável.
A migração de sistemas antigos também pode exigir testes de compatibilidade. Ariel Cessario, ex-coordenador do CERT argentino, disse ao Clarín que passar do PHP 7 para o 8 demanda testar o código para identificar incompatibilidades e mudanças de lógica.
O que foi relatado sobre os órgãos argentinos
Cessario afirmou ao Clarín que Argentina.gob.ar e os ministérios argentinos da Saúde e da Economia aplicaram as medidas recomendadas até 22 de outubro. O relato se refere a esses órgãos; Cessario não confirmou a resposta dos demais.
Um levantamento da Segu-info citado pelo Clarín registrou, em 29 de outubro de 2026, às 13h53, sinais de uso do PHP em 4.758 dos 13.977 sites gob.ar analisados, dentro de um inventário de 35.847 sites. O levantamento separou 2.354 casos com evidência explícita de PHP e 2.404 em que o uso foi inferido a partir das aplicações detectadas. Entre cerca de 2.350 sites com versão identificada, relatou PHP 4, 5 ou 7 em 47% dos casos e PHP 8.0 ou 8.1 em 9%.
As verificações recomendadas pela BA-CSIRT
A BA-CSIRT recomenda verificar a versão do PHP, aplicar uma versão corrigida ou o pacote de segurança do fornecedor ou da distribuição e conferir todos os ambientes PHP da organização. Quem não administra o servidor deve procurar o provedor de hospedagem ou a equipe técnica responsável. O aviso também ressalta que uma mitigação temporária não substitui a atualização.
