Vinicius Balbino PHP — Uma correção de emergência publicada na quarta-feira (21) faz soar o alerta para administradores de sites: duas vulnerabilidades críticas podem permitir que invasores executem código em servidores pela internet, sem precisar de senha. A amplitude do problema se deve à presença massiva do PHP na web e à possibilidade de exploração sem autenticação.
Como as falhas funcionam e quem está mais exposto
As duas vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, foram avaliadas com gravidade 9,2 em uma escala de 0 a 10. Em termos práticos, elas permitem a chamada execução remota de código (RCE): requisições manipuladas podem levar o servidor a executar instruções indevidas.
Pix: comprovante falso — confirme no extrato antes de liberar
Leia a matéria completa →
iPhone 15: 128 GB sai por 12x de R$ 304,98 com cupom
Leia a matéria completa →
Sílvia Cunha Lima terá nova eleição após cassação mantida pelo TRE-PB
Leia a matéria completa →
Tabela do Brasileirão 2026: classificação atualizadaVer classificação, artilharia e próximos jogos →O risco é particularmente alto em servidores que usam o módulo mod_php no Apache, mas ambientes com PHP-FPM, php-cgi, FrankenPHP e LiteSpeed também estão no escopo do alerta. Ter PHP instalado não implica automaticamente em invasão: fatores como configuração, permissões e correções aplicadas determinam a exposição.
As falhas CVE-2026-109618 e CVE-2026-109619 receberam nota 9,2 de 10 em gravidade e podem permitir execução remota de código sem autenticação.
O que fazer agora: versões seguras e medidas imediatas
As primeiras versões oficiais do PHP que incorporam os patches são 8.5.12, 8.4.27, 8.3.36 e 8.2.35; instalações em linhas anteriores devem migrar para uma versão suportada ou confirmar correções aplicadas pelo fornecedor. Algumas distribuições podem oferecer correções retroativas (backport), por isso é essencial checar o aviso do provedor de pacotes ou da hospedagem.
Recomendações práticas: confirme com a hospedagem se o patch foi distribuído, atualize a versão do PHP em servidores próprios, faça backup antes de mudanças maiores, teste compatibilidade de aplicações e não confie apenas em regras de WAF como mitigação definitiva. Quando a correção não for viável de imediato, avalie a restrição temporária de serviços expostos ou a suspensão de aplicações críticas.
O PHP suporta grande parte da web — em medições recentes, cerca de 69,3% dos sites cuja linguagem de servidor foi identificada usavam PHP — o que explica por que um problema nessa camada pode afetar muitos projetos e por que a coordenação entre provedores e clientes é fundamental.
Foto: Divulgação
O que você acha? Você já precisou acionar a hospedagem por causa de uma falha crítica? Para acompanhar mais, acesse nossa editoria.
Perguntas Frequentes
O que as falhas CVE-2026-109618 e CVE-2026-109619 significam para sites em PHP?
PHP apresenta duas vulnerabilidades que podem levar à execução remota de código sem autenticação; as CVEs têm gravidade 9,2. Em servidores mal configurados ou com permissões amplas, uma exploração bem-sucedida pode modificar arquivos, instalar código malicioso ou exfiltrar dados. A exposição varia conforme o ambiente e as atualizações aplicadas.
Sites WordPress precisam atualizar o PHP ou basta atualizar o próprio WordPress?
WordPress pode ser afetado porque roda sobre PHP, mas a correção precisa ocorrer na linguagem do servidor; atualizar apenas o CMS, temas e plugins não resolve as CVEs. Não há atualização do WordPress que substitua a instalação da versão corrigida do PHP; por isso, consulte o provedor de hospedagem para confirmar a aplicação dos patches.
