Em 23 de outubro, o PHP divulgou a CVE-2026-115560, uma falha separada das duas vulnerabilidades corrigidas pelo projeto em 21 de outubro. As atualizações daquele dia corrigem a CVE-2026-109618 e a CVE-2026-109619 nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A OpenAI relacionou essa resposta à iniciativa Patch the Planet, que já existia antes da divulgação.
A falha divulgada em 23 de outubro é distinta
A CVE-2026-115560 afeta uma configuração incomum de PHP: alterar session.serialize_handler para php durante a execução, antes de session_start(), enquanto o progresso de upload de sessão está ativado. Essa falha não foi corrigida pelas versões publicadas em 21 de outubro.
O que fazem as duas vulnerabilidades corrigidas em 21 de outubro
A CVE-2026-109618 envolve corrupção de memória após uma condição de falta de memória. O PHP pode interromper o processamento com dados da requisição parcialmente inicializados, que o procedimento de limpeza pode tratar como válidos. Já a CVE-2026-109619 envolve um estado interno obsoleto: uma requisição posterior pode reutilizar dados depois que a memória que os sustentava foi liberada.
O PHP identificou risco em instalações que atendem requisições pela web usando PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. O projeto apontou o mod_php como a configuração de maior risco. O impacto depende da vulnerabilidade e das condições da instalação. Em aplicações selecionadas, a Wiz relatou demonstrações de execução remota de código sem autenticação; também descreveu um caminho para expor memória do processo. O Google Cloud atribuiu nota-base CVSS v4.0 de 9,2 a cada CVE.
Versões do PHP corrigidas
| Ramo do PHP | Versão corrigida |
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
O aviso oficial do PHP lista essas versões para corrigir as duas CVEs. O projeto afirma que atualizar é a única correção completa; regras de firewall de aplicação web e ajustes de configuração podem reduzir a exposição, mas não substituem a atualização.
O PHP 8.1 e os ramos anteriores já não recebem atualizações regulares de segurança do projeto. Para os ramos 7.4, 8.0 e 8.1, o PHP forneceu backports mínimos de código-fonte. Distribuições e fornecedores de suporte de longo prazo também podem oferecer pacotes próprios, então o caminho de atualização depende do fornecedor usado pela instalação.
Calif, Wiz e OpenAI participaram de etapas diferentes
A OpenAI atribuiu à Calif, com uso do modelo GPT-5.6 Sol, a identificação de uma falha crítica. A Calif situa o início de sua descoberta em 1º de agosto de 2026; seu pesquisador Ryan Austin descreveu o uso de um modelo de linguagem como parte de uma investigação conduzida por uma pessoa, apoiada por experiência com PHP e conhecimento de falhas antigas. A Calif diz que enviou seu primeiro relato ao projeto PHP em 11 de agosto.
A Wiz afirma que encontrou uma vulnerabilidade de forma independente em 19 de agosto e comunicou os problemas ao PHP em 24 de agosto. A PHP Foundation também relata que a OpenAI informou ao projeto PHP a mesma causa raiz e, em 18 de setembro, outros caminhos de ataque. A cronologia envolve diferentes equipes e contribuições, não um modelo agindo sozinho.
A iniciativa Patch the Planet já havia sido anunciada em 22 de junho de 2026. Em 21 de outubro, a OpenAI descreveu a resposta às falhas do PHP e propôs um modelo de cinco etapas para futuras divulgações coordenadas.
A Amazon relatou que uma tentativa de exploração chegou a uma honeypot MadPot em 17 de outubro, antes da divulgação pública. A origem das informações do agente e a possibilidade de sucesso contra um sistema real permaneceram indeterminadas, segundo a empresa.
