Em relato divulgado em 21 de outubro de 2026, a PHP Foundation situou em 2024 os primeiros sinais da causa relacionada ao esgotamento de memória da CVE-2026-109618, uma das duas falhas conhecidas como PHP2Shell. Naquele momento, segundo a entidade, nenhum exploit concreto havia sido demonstrado. A pista surgiu durante o trabalho sobre um achado de uma auditoria externa da Quarkslab.
O que foi percebido em 2024
OOM, sigla para out of memory, é uma condição de esgotamento de memória. O sinal percebido pelo desenvolvedor do núcleo do PHP dizia respeito ao tratamento desse problema e à causa-raiz da CVE-2026-109618. Ele não descrevia um exploit concreto já demonstrado.
A PHP Foundation relatou que outras tarefas receberam prioridade. Assim, o intervalo até a correção começou com uma pista técnica sobre uma das vulnerabilidades, e não com a demonstração de uma cadeia de ataque pronta.
Por que a correção demorou
As soluções consideradas tinham custos técnicos diferentes: podiam afetar a compatibilidade com versões anteriores, aumentar o risco de negação de serviço ou causar problemas em extensões de terceiros. A PHP Foundation atribuiu meses de atraso também a limitações de recursos e ao processo de decisão sobre qual correção adotar.
Esse contexto ajuda a entender por que detectar um problema e publicar uma correção são etapas distintas. Uma mudança que resolve uma falha pode trazer efeitos colaterais para sistemas e extensões que dependem do comportamento existente.
Como os relatos se desenrolaram em 2026
Os relatos posteriores envolveram pesquisadores e organizações diferentes. Em 11 de agosto, Ryan Austin, pesquisador da Calif, reportou uma falha de execução remota de código. A PHP Foundation relatou que a OpenAI comunicou, de forma independente e no mesmo dia, a mesma causa-raiz.
| Data | Acontecimento |
| 11 de agosto de 2026 | Ryan Austin, da Calif, reportou uma falha de execução remota de código; a OpenAI informou de forma independente a mesma causa-raiz naquele dia. |
| 24 de agosto de 2026 | A Wiz Research reportou sua pesquisa à equipe de segurança do PHP. |
| 18 de setembro de 2026 | A OpenAI relatou vetores adicionais de ataque, segundo a PHP Foundation. |
Essa sequência não atribui a descoberta das duas vulnerabilidades a um único modelo de IA. Ela registra contribuições distintas, incluindo relatos de pesquisadores e organizações.
Em 21 de outubro de 2026, o PHP publicou as versões corrigidas 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Os números constam no aviso de segurança do PHP. Em 26 de outubro, a CISA incluiu as duas falhas em seu catálogo KEV; a cobertura anterior da NeoTeo sobre essa inclusão detalha essa etapa.
