Os desenvolvedores do PHP disponibilizaram nesta quarta-feira (21) uma atualização emergencial para corrigir duas falhas críticas de segurança que podem permitir a invasão de servidores sem necessidade de senha. As vulnerabilidades afetam uma das linguagens de programação mais utilizadas na internet, presente em plataformas como WordPress, Drupal, Joomla e sistemas de comércio eletrônico.
Identificadas como CVE-2026-109618 e CVE-2026-109619, as falhas receberam nota 9,2 em uma escala de gravidade que vai até 10. Ambas podem permitir a execução remota de códigos maliciosos, situação em que um invasor consegue executar comandos em um servidor sem autorização.
As correções foram disponibilizadas nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Em comunicado oficial, a equipe responsável pelo desenvolvimento da linguagem recomendou que todos os usuários atualizem seus sistemas imediatamente.
A divulgação das correções representa um novo desdobramento do alerta emitido na terça-feira (20), quando os desenvolvedores anunciaram a descoberta das vulnerabilidades.
Quais versões do PHP estão vulneráveis?
Segundo informações divulgadas pelo Google Cloud, as vulnerabilidades afetam versões do PHP desde a série 5.4 até a 8.5.11.
As versões corrigidas são:
- PHP 8.5: atualizar para 8.5.12.
- PHP 8.4: atualizar para 8.4.27.
- PHP 8.3: atualizar para 8.3.36.
- PHP 8.2: atualizar para 8.2.35.
As versões PHP 8.1 e anteriores já não recebem atualizações regulares de segurança do projeto. Para essas instalações, a orientação é migrar para uma versão suportada e corrigida.
A equipe do PHP também disponibilizou correções de código-fonte para determinadas versões antigas, destinadas principalmente a fornecedores que mantêm suporte próprio. Isso não representa a retomada do suporte oficial a essas versões.
A recomendação para administradores é verificar não apenas o número da versão utilizada, mas também se o fornecedor do sistema operacional ou da hospedagem já incorporou as correções de segurança.
Por que as falhas são consideradas críticas?
As duas vulnerabilidades estão relacionadas ao gerenciamento de memória do PHP durante o processamento de requisições.
A primeira, CVE-2026-109618, envolve uma falha no tratamento de situações em que o sistema fica sem memória disponível. Em determinadas condições, o PHP pode utilizar informações internas que não foram inicializadas corretamente.
A segunda, CVE-2026-109619, permite que informações internas de uma requisição permaneçam acessíveis após a liberação da memória correspondente, criando condições para que sejam utilizadas indevidamente em uma solicitação posterior.
Segundo os desenvolvedores, essas falhas podem permitir que invasores executem códigos remotamente, mesmo sem possuir credenciais de acesso ao servidor.
O risco atinge diferentes formas de execução do PHP, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
O projeto PHP considera especialmente elevado o risco em instalações que utilizam o módulo mod_php do Apache, para as quais já foi demonstrada uma forma de exploração antes mesmo da execução do código da aplicação.
Sites WordPress precisam ser atualizados?
O WordPress utiliza PHP para executar grande parte de suas funcionalidades. Por isso, sites hospedados em servidores com versões vulneráveis da linguagem precisam receber atenção.
Entretanto, a existência das falhas não significa que todos os sites WordPress tenham sido invadidos.
O problema está no próprio PHP, e não necessariamente no WordPress, em seus temas ou plugins.
Isso significa que um site pode estar com o WordPress atualizado e ainda utilizar uma versão vulnerável do PHP no servidor.
A mesma situação pode ocorrer em lojas virtuais, sistemas empresariais e outras aplicações desenvolvidas com a linguagem.
Para eliminar as vulnerabilidades, é necessário instalar uma versão corrigida do PHP ou uma atualização de segurança equivalente fornecida pelo responsável pela distribuição do software.
Como verificar a versão do PHP no WordPress?
Administradores podem consultar a versão utilizada diretamente pelo painel do WordPress.
O procedimento é o seguinte:
- Acesse o painel administrativo do WordPress.
- Entre em Ferramentas.
- Clique em Saúde do site.
- Selecione a aba Informações.
- Abra a seção Servidor.
- Consulte o campo Versão do PHP.
Quem utiliza hospedagem com cPanel também pode verificar essa informação pelo MultiPHP Manager ou por ferramentas equivalentes disponibilizadas pelo provedor.
Antes de realizar uma atualização, é recomendável criar um backup completo e verificar a compatibilidade dos temas, plugins e demais aplicações instaladas.
Em hospedagens compartilhadas, a atualização do PHP pode depender da disponibilidade dos pacotes corrigidos pelo provedor.
Cloudflare pode ajudar a proteger os sites?
A Cloudflare informou que disponibilizou regras de proteção em seu firewall de aplicações web, conhecido como WAF, para bloquear formas conhecidas de exploração das vulnerabilidades.
Segundo a empresa, essas regras também estão disponíveis para clientes do plano gratuito.
Entretanto, o próprio projeto PHP esclarece que não existem medidas alternativas capazes de eliminar completamente o risco sem a aplicação das correções.
Isso significa que serviços de firewall, sistemas de monitoramento e outras camadas de segurança podem reduzir a exposição, mas não substituem a atualização do PHP.
Sites governamentais foram retirados do ar
A divulgação das vulnerabilidades provocou medidas preventivas em diferentes países.
Segundo a Reuters, sites governamentais da Europa e de outras regiões ficaram temporariamente fora do ar nesta quarta-feira após a publicação das informações sobre as falhas.
A retirada preventiva de páginas não significa, necessariamente, que elas tenham sido invadidas. Em determinadas situações, administradores optam por interromper o acesso até a conclusão das atualizações de segurança.
Pesquisadores e empresas especializadas também relataram tentativas iniciais de exploração das vulnerabilidades.
A situação reforça a necessidade de atualização, especialmente em servidores expostos diretamente à internet.
O que fazer agora para proteger seu site?
Com as correções disponíveis, a principal recomendação é verificar a versão do PHP utilizada e providenciar a atualização.
Empresas e administradores devem priorizar servidores que atendem requisições públicas, especialmente aqueles que hospedam lojas virtuais, sistemas de autenticação e aplicações que processam informações pessoais.
Também é importante verificar se houve atividade suspeita nos registros do servidor, manter cópias de segurança atualizadas e acompanhar os comunicados dos fornecedores de hospedagem.
Para sites que utilizam versões antigas do PHP, a atualização pode exigir adaptações de compatibilidade. Nesse caso, a migração deve ser planejada com urgência, sem deixar os sistemas expostos desnecessariamente.
O projeto PHP reforçou que a instalação das versões corrigidas é a única forma de eliminar completamente as duas vulnerabilidades identificadas.
As novas versões já estão disponíveis no site oficial da linguagem.