PHP
PHP corrige duas falhas críticas que deixam correr código em servidores sem autenticação: o que atualizar já
As versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 saíram a 21 de outubro, depois de informação sobre as falhas ter começado a circular antes do tempo. Todos os sites e aplicações em PHP que respondem a pedidos da internet estão em risco até atualizarem.
A equipa de segurança do PHP, a linguagem por trás de muitos sites, lojas online e serviços web, lançou a 21 de outubro correções para duas vulnerabilidades críticas que permitem a um atacante executar código num servidor sem ter de se autenticar. As novas versões são a 8.5.12, a 8.4.27, a 8.3.36 e a 8.2.35, e o aviso oficial pede a todos os utilizadores que atualizem de imediato. O lançamento foi anunciado na véspera, com a ressalva de que podia ser antecipado se os pormenores se tornassem públicos. No mesmo dia, os investigadores da watchTowr disseram ao BleepingComputer que informação sobre as falhas, que deviam ficar em segredo até quinta-feira, já estava a circular.
Quem está em risco
Segundo o aviso do PHP, estão expostas todas as instalações que respondem a pedidos web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. A equipa considera o risco mais alto no mod_php, onde já foi demonstrado um ataque em que um pedido sem autenticação dispara a falha antes de correr qualquer código da aplicação. Isso significa que não basta ter o WordPress ou outro programa atualizado: o problema está no próprio PHP.
As duas falhas têm a ver com a forma como o PHP gere a memória entre pedidos. A primeira (CVE-2026-109618) surge quando o PHP fica sem memória a meio de um pedido e depois trata como válidos dados que não chegaram a ser preparados. A segunda (CVE-2026-109619) acontece quando informação de um pedido sobrevive depois de a memória ter sido libertada e é usada pelo pedido seguinte. A equipa do PHP atribuiu a cada uma a nota de 9,2 em 10, enquanto a watchTowr fala em 10. Na véspera da correção, os investigadores diziam não ter visto as falhas a ser exploradas.
O que fazer
Se geres um servidor, atualiza para uma das quatro versões corrigidas. As distribuições Linux e os fornecedores de suporte alargado receberam as correções com antecedência, por isso os pacotes atualizados devem estar disponíveis nos canais habituais. O PHP 8.1 e as versões anteriores já não são mantidos pelo projeto, mas, dada a gravidade, a equipa publicou correções mínimas para o 7.4, o 8.0 e o 8.1, destinadas a quem compila o PHP a partir do código. Quem usa o repositório rpms.remirepo.net, mantido por voluntários, é aconselhado a mudar para os pacotes da distribuição, porque esse repositório não ia ter atualizações no próprio dia.
Para quem não pode atualizar já, o aviso lista medidas que reduzem a exposição, como desligar a opção session.upload_progress.enabled e baixar o tamanho máximo dos pedidos, mas sublinha que nenhuma torna a instalação segura. Se tens um site num alojamento partilhado, não controlas a versão do PHP: confirma no painel ou junto do fornecedor que o servidor já está numa das versões 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
