O PHP publicou em 21 de outubro de 2026 as versões que corrigem CVE-2026-109618 e CVE-2026-109619: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. As medidas temporárias reduzem a exposição a caminhos específicos, mas o PHP aponta a atualização do runtime como a correção completa.
Quais versões corrigem os CVEs?
Instale a versão correspondente à ramificação do PHP em uso. O PHP atribuiu nota CVSS v4.0 de 9,2 a cada falha.
| Ramificação do PHP | Versão corrigida upstream |
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Esses são os lançamentos upstream. Distribuições e provedores podem empacotar as correções em outro ritmo; por isso, o número da versão upstream não informa, por si só, qual pacote está instalado em um servidor.
Como as duas falhas afetam o PHP
As duas vulnerabilidades podem permitir execução remota de código sem autenticação em instalações PHP que atendem requisições web, mas envolvem problemas diferentes de gerenciamento de memória.
Em CVE-2026-109618, uma falta de memória pode interromper o processamento de uma requisição enquanto dados internos ainda estão parcialmente inicializados. Na limpeza, o PHP pode tratar dados inválidos como válidos.
Em CVE-2026-109619, um estado interno pertencente a uma requisição pode permanecer depois que a memória que o sustentava deixa de existir. Uma requisição posterior processada pelo mesmo worker pode usar esse estado antes de uma nova inicialização.
O PHP inclui entre as configurações web afetadas PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. A equipe aponta mod_php como o modo de maior risco porque uma requisição sem autenticação pode alcançar o caminho vulnerável antes de o código da aplicação ser executado.
O que as medidas temporárias conseguem fazer
Desativar session.upload_progress.enabled e reiniciar todos os workers bloqueia caminhos de sessão confirmados para CVE-2026-109619. A medida não cobre outras variantes. No PHP 8.5, fatal_error_backtraces=0 bloqueia apenas o caminho confirmado ligado a rastreamentos de erros fatais.
Para CVE-2026-109618, as recomendações do PHP incluem configurar memory_limit=-1 de modo que a aplicação não possa alterar o valor, reduzir post_max_size para 8M quando não há necessidade de uploads ou para 32M quando há, e aplicar limites adequados de recursos. O PHP alerta que falhas de alocação subjacentes ainda podem alcançar o caminho vulnerável.
Esses ajustes reduzem a exposição em condições específicas. Segundo o PHP, não tornam a instalação segura: atualizar para uma versão corrigida é a correção completa.
PHP 8.1 e versões anteriores
O projeto PHP não fornece mais atualizações para PHP 8.1 e versões anteriores. O PHP publicou backports mínimos do código-fonte para 7.4, 8.0 e 8.1, destinados a quem compila o PHP ou não tem acesso a um fornecedor de suporte de longo prazo. Esses backports de código-fonte não equivalem à instalação de um pacote corrigido. Para uma versão antiga, a correção depende de um pacote fornecido pelo distribuidor ou provedor, ou da migração para uma ramificação com suporte.
