Em 24 de outubro de 2026, a equipe do SuperTuxKart informou que todos os usuários terão de definir uma nova senha quando o serviço online voltar. O projeto havia tirado o serviço do ar durante a resposta às vulnerabilidades PHP2Shell e afirmou não ter indicação de que seu servidor tivesse sido invadido.
Segundo a equipe do SuperTuxKart, a migração das contas depende da conclusão de uma reescrita do serviço e de uma auditoria de segurança.
O que a AWS observou antes da divulgação
A AWS registrou uma tentativa de exploração na rede de honeypots MadPot em 17 de outubro de 2026, antes da divulgação pública das falhas. Em 21 de outubro, entre 02h e 08h UTC, a empresa observou novas tentativas. A divulgação pública das correções ocorreu às 14h UTC daquele dia.
A AWS relatou variações nos payloads e na infraestrutura de anonimização usados nas tentativas. Para a empresa, essa diversidade sugeria a atuação de mais de um agente.
O que os registros permitem afirmar
A telemetria da MadPot registra tentativas contra sensores da AWS. A empresa disse que não conseguiu determinar se elas teriam sido bem-sucedidas em sistemas reais; os registros, portanto, não comprovam invasões de servidores de produção.
Quais versões do PHP receberam correções
Em 21 de outubro de 2026, o PHP publicou correções para as vulnerabilidades CVE-2026-109618 e CVE-2026-109619, ambas no runtime da linguagem. As versões corrigidas correspondem a cada linha: 8.5.12 para PHP 8.5, 8.4.27 para 8.4, 8.3.36 para 8.3 e 8.2.35 para 8.2. O arquivo oficial de segurança do PHP também orienta usuários de pacotes distribuídos por terceiros a consultar seus fornecedores, que podem oferecer correções retroportadas.
Em sites WordPress, a correção precisa estar no runtime PHP que atende às requisições; atualizar o WordPress não substitui essa atualização. A reportagem anterior da NeoTeo sobre OpenAI e as falhas do PHP aborda o contexto da descoberta.
