Em relato publicado em 22 de outubro, a Axios afirmou que um possível ataque às falhas do PHP surgiu em 21 de outubro e que dezenas de sites foram tirados do ar temporariamente. No lançamento das correções, também em 21 de outubro, a The PHP Foundation disse que não havia identificado um exploit funcional. As duas falhas podem permitir execução remota de código (RCE), ou seja, comandos executados em um servidor a partir de uma requisição remota, sob condições específicas.
O que aconteceu após o relato de ataque
A Axios atribuiu as interrupções temporárias a uma resposta ao possível ataque. A The PHP Foundation informou que sua equipe não havia encontrado um exploit funcional no momento em que as correções foram lançadas.
A sequência de divulgação foi pressionada por informações que circularam antes do lançamento coordenado. Segundo a The PHP Foundation, identificadores CVE começaram a aparecer online em 20 de outubro. No dia seguinte, a Chainguard publicou binários corrigidos antes da divulgação coordenada, e um vídeo de prova de conceito também foi publicado por engano. O PHP antecipou o cronograma de anúncio e lançamento.
Duas falhas, dois mecanismos
O PHP descreveu CVE-2026-109618 como corrupção de memória causada por falta de memória e CVE-2026-109619 como um problema de estado global obsoleto após um erro fatal. Sob as condições descritas pelo projeto, ambas podem permitir RCE sem autenticação.
| CVE | Mecanismo | Impacto descrito |
| CVE-2026-109618 | Corrupção de memória após falta de memória | RCE sem autenticação sob condições específicas |
| CVE-2026-109619 | Estado global obsoleto após um erro fatal | RCE sem autenticação sob condições específicas |
Na primeira falha, dados internos parcialmente inicializados podem ser tratados como válidos. Na segunda, um worker pode reutilizar estado de uma requisição depois que a memória associada a ele foi liberada. A Wiz também demonstrou divulgação remota de memória de processo associada à CVE-2026-109618.
O PHP considera vulneráveis as instalações que atendem requisições pela web e aponta o mod_php como a configuração de maior risco. A Wiz demonstrou RCE sem autenticação em imagens de contêiner do WordPress, Drupal e Joomla. O problema está no próprio PHP, portanto não depende de uma falha específica nesses sistemas de gerenciamento de conteúdo.
Pesquisadores usaram IA; mantenedores corrigiram o PHP
A OpenAI afirmou que a Calif identificou uma falha crítica com auxílio do modelo GPT-5.6 Sol. A Wiz descobriu e reportou as duas vulnerabilidades de forma independente. A The PHP Foundation também relatou que um desenvolvedor do PHP já havia encontrado sinais do problema de falta de memória em 2024. Os mantenedores do PHP lideraram as correções.
Quais versões corrigem as falhas
Em 21 de outubro de 2026, o PHP publicou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O aviso oficial de segurança do PHP atribui nota CVSS v4.0 de 9,2 a cada falha e aponta a atualização como a única correção completa. A cobertura anterior da NeoTeo sobre as versões do PHP que corrigem as duas falhas críticas detalha esses lançamentos.
O projeto PHP não fornece mais atualizações para PHP 8.1 e versões anteriores, embora alguns distribuidores e provedores ofereçam correções retroportadas. Medidas de configuração podem reduzir caminhos específicos de ataque, mas não substituem a atualização. Para instalações antigas, a correção depende de um pacote do fornecedor ou da migração para uma versão com suporte.
