A equipe de segurança do PHP pediu que os administradores se preparem para instalar atualizações emergenciais amanhã. As correções tratarão de duas vulnerabilidades críticas cujos detalhes teriam vazado antes da divulgação programada.
O PHP é usado em muitos sites e aplicações web, incluindo sistemas de gerenciamento de conteúdo, plataformas de comércio eletrônico e serviços web personalizados.
Em um comunicado publicado na terça-feira, a equipe de desenvolvimento do PHP informou que pretende lançar as atualizações de segurança na quarta-feira, 21 de outubro, às 14h UTC, ou às 10h no horário do leste dos Estados Unidos. As correções tratarão de duas vulnerabilidades, ambas com pontuação 9,2 no CVSS v4.0.
A equipe de segurança do PHP também enviou um aviso à lista de discussão ANNOUNCE, pedindo que os administradores se preparem para instalar as atualizações assim que estiverem disponíveis.
“Reservamo-nos o direito de antecipar o lançamento caso detalhes de qualquer uma das vulnerabilidades se tornem públicos ou surjam indícios de exploração ativa em ambientes de produção”, alertou a equipe.
Os desenvolvedores não divulgaram detalhes técnicos sobre as falhas, incluindo quais versões do PHP são afetadas, como elas podem ser exploradas ou quais versões receberão correções.
Segundo o BleepingComputer, pesquisadores de segurança da watchTowr disseram que as vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, permitem execução remota de código (RCE) e afetam as versões 5, 6, 7 e 8 do PHP.
“Na última hora, duas vulnerabilidades de execução remota de código no PHP vazaram. Elas estavam sob embargo e tinham divulgação prevista para quinta-feira, às 11h no horário do leste dos Estados Unidos”, afirmou Benjamin Harris, diretor-executivo da watchTowr, em declaração reproduzida pelo BleepingComputer.
“Embora não possamos compartilhar informações técnicas neste momento, por motivos óbvios e devido à sensibilidade do caso, podemos confirmar que as vulnerabilidades são reais. Ambas têm pontuação CVSS 10 e, segundo as informações disponíveis, afetam as versões 5, 6, 7 e 8 do PHP.”
A watchTowr também afirmou acreditar que conseguiu reproduzir a CVE-2026-109618, mas que não divulgará informações técnicas até que as correções de segurança estejam disponíveis.
Os pesquisadores disseram não ter observado tentativas de exploração das vulnerabilidades em ambientes de produção, apesar do suposto vazamento de informações antes da divulgação planejada.
Em uma publicação na rede X, a watchTowr alertou que informações sobre as falhas haviam vazado antes da data de divulgação inicialmente prevista.
“Todos deveriam esperar até quinta-feira, às 11h no horário do leste dos Estados Unidos. Vazaram informações sobre vulnerabilidades de execução remota de código no PHP, classificadas como zero-day e sob embargo. Podemos confirmar que são reais”, escreveram os pesquisadores.
O alerta veio após uma publicação, posteriormente apagada, no fórum Hacker News, da Y Combinator. Nela, um usuário chamado “petecooper” afirmou que duas vulnerabilidades críticas de execução remota de código no PHP seriam divulgadas em 22 de outubro.
Segundo o BleepingComputer, a publicação dizia que as duas falhas tinham pontuação CVSS 10,0 e afetavam versões do PHP desde a versão 5.
O texto também identificava as vulnerabilidades como CVE-2026-109618 e CVE-2026-109619, os mesmos códigos divulgados posteriormente pela watchTowr.
No entanto, as declarações da watchTowr e a publicação no Hacker News divergem do comunicado oficial do PHP. Ambas mencionavam pontuação CVSS 10,0 para as vulnerabilidades, enquanto a equipe de segurança do PHP atribuiu a cada uma a pontuação 9,2 no CVSS v4.0.
Além disso, a watchTowr mencionou que a divulgação estava inicialmente prevista para quinta-feira, enquanto o PHP programou oficialmente o lançamento das atualizações de segurança para amanhã de manhã.
A equipe de segurança do PHP informou que divulgará os detalhes técnicos completos, as versões afetadas e as versões corrigidas quando as atualizações estiverem disponíveis.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...