A Cisco Talos relatou, em uma atualização publicada em 22 de outubro de 2026, tentativas de exploração contra as falhas CVE-2026-109618 e CVE-2026-109619, no núcleo do PHP. A maior parte da atividade observada era de varredura, acompanhada por tentativas não coordenadas de envio de payloads. A Talos não relatou comprometimentos bem-sucedidos.
O que mudou entre as observações da Talos
Em uma avaliação com horário de referência às 14h UTC de 21 de outubro, a Talos disse que ainda não havia observado exploração ativa. Na atualização do dia 22, relatou tentativas vistas nas horas seguintes à divulgação das falhas. As avaliações se referem a períodos diferentes.
Duas falhas no núcleo do PHP
As vulnerabilidades podem permitir execução remota de código sem autenticação e, segundo a Talos, afetam compilações do PHP desde a versão 5.4. Cada uma recebeu pontuação 9,2 no CVSS v4.0, sistema que classifica a gravidade de vulnerabilidades.
A CVE-2026-109618 envolve uma interrupção por falta de memória enquanto dados de uma requisição ainda estão parcialmente inicializados. Durante a limpeza, o PHP pode tratar dados inválidos como válidos. A CVE-2026-109619 envolve o uso de estado interno obsoleto depois que a memória associada a ele foi liberada.
Versões corrigidas e controles temporários
A CERT-EU lista como corrigidas as versões PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. A NeoTeo já abordou as versões do PHP que corrigem as duas falhas.
A Talos descreve configurações temporárias que reduzem caminhos específicos de ataque, mas não oferecem proteção abrangente. A recomendação é atualizar para uma versão corrigida da ramificação do PHP em uso.
