O projeto PHP divulgou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para corrigir duas vulnerabilidades críticas, identificadas como CVE-2026-109618 e CVE-2026-109619, que podem permitir execução remota de código sem necessidade de autenticação. Em outras palavras, um invasor conseguiria rodar comandos próprios diretamente no servidor afetado, sem precisar fazer login antes. Por isso, a equipe responsável pelo PHP recomenda fortemente que todos os usuários atualizem seus sistemas imediatamente.
No aviso antecipado publicado em 20 de outubro, a equipe de segurança do PHP classificou ambas as falhas com nota 9.2 na escala CVSS v4.0, patamar considerado crítico. Diante disso, a orientação é clara: toda atualização de segurança do PHP disponível deve ser aplicada o quanto antes em cada site sob gestão, independentemente do porte ou da plataforma utilizada.
Um ponto que merece atenção especial: como qualquer site WordPress depende do PHP para funcionar, é importante entender que essas falhas estão na própria linguagem PHP, e não no núcleo do WordPress, em plugins ou em temas. Dessa forma, as atualizações automáticas do WordPress não resolvem o problema — a correção precisa ser feita diretamente no servidor, atualizando a versão do PHP instalada.
Quem está exposto à atualização de segurança do PHP
De acordo com o comunicado oficial do projeto PHP, todas as instalações que atendem requisições web estão em risco, incluindo ambientes com PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. No entanto, o risco é considerado ainda maior em configurações que usam mod_php, já que foi demonstrado um exploit em que uma requisição não autenticada consegue disparar o ataque antes mesmo de qualquer código da aplicação ser executado.
Versões corrigidas pela atualização de segurança
As versões já disponíveis com a correção são as seguintes:
- PHP 8.5: atualizar para a versão 8.5.12
- PHP 8.4: atualizar para a versão 8.4.27
- PHP 8.3: atualizar para a versão 8.3.36
- PHP 8.2: atualizar para a versão 8.2.35. Vale lembrar que o PHP 8.2 chega ao fim do seu ciclo de vida em 31 de dezembro de 2026 e, a partir dessa data, não receberá mais correções de segurança.
Já as versões PHP 8.1 e anteriores não recebem mais atualizações diretamente do projeto PHP. Segundo o próprio projeto, algumas distribuições Linux e fornecedores de suporte de longo prazo (LTS) costumam disponibilizar correções retroativas, por isso vale contatar o fornecedor responsável ou migrar para uma versão ainda suportada. Além disso, a equipe de segurança do PHP publicou backports mínimos de código-fonte para PHP 7.4, PHP 8.0 e PHP 8.1, voltados a quem compila o PHP a partir do código-fonte ou não conta com um fornecedor LTS.
O que fazer agora diante da atualização de segurança
Para quem administra sites WordPress, o primeiro passo é verificar a versão do PHP em uso. Isso pode ser feito no painel do WordPress, acessando Ferramentas > Saúde do Site, abrindo a aba Informações e expandindo a seção Servidor. É importante notar que, quando o PHP vem de uma distribuição Linux ou de um fornecedor LTS, o número da versão pode não mudar mesmo após a correção ser aplicada — por isso, confirmar diretamente com o host ou com o aviso de segurança do fornecedor é essencial.
- Se a hospedagem gerencia o PHP de forma automática, o recomendado é entrar em contato com o provedor ou verificar sua página de status para confirmar se a atualização para uma das versões corrigidas já foi aplicada.
- Para quem administra o próprio servidor, o caminho é fazer um backup antes de qualquer alteração e, em seguida, instalar os pacotes atualizados do PHP vindos da distribuição Linux ou do fornecedor LTS, já que esses parceiros receberam os patches com antecedência. Também é possível baixar o código-fonte, além de versões binárias para Windows, diretamente na página oficial de downloads do PHP.
- Usuários do repositório mantido por voluntários remirepo (rpms.remirepo.net) devem verificar se já há pacotes atualizados disponíveis. O aviso de segurança do PHP informou que o repositório não teria atualizações em 21 de outubro, mas, desde então, a Fundação PHP divulgou que o mantenedor já está assinando os pacotes corrigidos. Apesar disso, o próprio comunicado recomenda que usuários do remirepo migrem para pacotes de distribuição oficial ou compilem a partir do código-fonte, de modo a aplicar as correções imediatamente.
E se não for possível atualizar imediatamente?
O projeto PHP reforça que apenas a atualização representa uma solução completa para as vulnerabilidades. Ainda assim, para quem não consegue atualizar de imediato, o aviso oficial de segurança lista medidas paliativas que reduzem a exposição a caminhos específicos de ataque, embora não tornem a instalação totalmente segura. Quem precisar recorrer a essas alternativas deve seguir rigorosamente as instruções detalhadas no comunicado oficial do PHP.
Em resumo, a recomendação central permanece a mesma para qualquer administrador de site ou servidor: tratar essa atualização de segurança do PHP como prioridade máxima, já que o risco envolve execução remota de código sem autenticação em praticamente toda a infraestrutura web baseada na linguagem, do WordPress a sistemas personalizados.
Com informações de wordfence.com.
