# PHP corrige duas falhas críticas que deixam correr código em servidores sem autenticação: o que atualizar já

> As versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 saíram a 21 de outubro, depois de informação sobre as falhas ter começado a circular antes do tempo. Todos os sites e aplicações em PHP que respondem a pedidos da internet estão em risco até atualizarem.

- Publicação: MEGAzine (https://megazine.pt/)
- Endereço: https://megazine.pt/seguranca/php-corrige-duas-falhas-criticas-que-deixam-correr-codigo-em-servidores-sem
- Categoria: Segurança
- Autoria: Redação
- Publicado: 22 de outubro de 2026
- Etiquetas: PHP, Vulnerabilidades, Servidores, Sites, Atualizações

## Em resumo

- O PHP lançou a 21 de outubro as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, que corrigem as falhas CVE-2026-109618 e CVE-2026-109619.
- As duas falhas permitem executar código remotamente sem autenticação e afetam todas as instalações que servem pedidos web, como PHP-FPM, Apache com mod_php ou LiteSpeed.
- Segundo a equipa do PHP, o risco é maior no mod_php, onde foi demonstrado um ataque que corre antes de qualquer código da aplicação.
- O PHP 8.1 e as versões anteriores já não recebem atualizações oficiais; a equipa publicou correções mínimas para o 7.4, o 8.0 e o 8.1.
- Quem tem um site em alojamento partilhado deve confirmar com o fornecedor se o PHP já foi atualizado.

A equipa de segurança do PHP, a linguagem por trás de muitos sites, lojas online e serviços web, lançou a 21 de outubro correções para duas vulnerabilidades críticas que permitem a um atacante executar código num servidor sem ter de se autenticar. As novas versões são a 8.5.12, a 8.4.27, a 8.3.36 e a 8.2.35, e o aviso oficial pede a todos os utilizadores que atualizem de imediato. O lançamento foi anunciado na véspera, com a ressalva de que podia ser antecipado se os pormenores se tornassem públicos. No mesmo dia, os investigadores da watchTowr disseram ao BleepingComputer que informação sobre as falhas, que deviam ficar em segredo até quinta-feira, já estava a circular.

## Quem está em risco

Segundo o aviso do PHP, estão expostas todas as instalações que respondem a pedidos web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. A equipa considera o risco mais alto no mod_php, onde já foi demonstrado um ataque em que um pedido sem autenticação dispara a falha antes de correr qualquer código da aplicação. Isso significa que não basta ter o WordPress ou outro programa atualizado: o problema está no próprio PHP.

As duas falhas têm a ver com a forma como o PHP gere a memória entre pedidos. A primeira (CVE-2026-109618) surge quando o PHP fica sem memória a meio de um pedido e depois trata como válidos dados que não chegaram a ser preparados. A segunda (CVE-2026-109619) acontece quando informação de um pedido sobrevive depois de a memória ter sido libertada e é usada pelo pedido seguinte. A equipa do PHP atribuiu a cada uma a nota de 9,2 em 10, enquanto a watchTowr fala em 10. Na véspera da correção, os investigadores diziam não ter visto as falhas a ser exploradas.

## O que fazer

Se geres um servidor, atualiza para uma das quatro versões corrigidas. As distribuições Linux e os fornecedores de suporte alargado receberam as correções com antecedência, por isso os pacotes atualizados devem estar disponíveis nos canais habituais. O PHP 8.1 e as versões anteriores já não são mantidos pelo projeto, mas, dada a gravidade, a equipa publicou correções mínimas para o 7.4, o 8.0 e o 8.1, destinadas a quem compila o PHP a partir do código. Quem usa o repositório rpms.remirepo.net, mantido por voluntários, é aconselhado a mudar para os pacotes da distribuição, porque esse repositório não ia ter atualizações no próprio dia.

Para quem não pode atualizar já, o aviso lista medidas que reduzem a exposição, como desligar a opção session.upload_progress.enabled e baixar o tamanho máximo dos pedidos, mas sublinha que nenhuma torna a instalação segura. Se tens um site num alojamento partilhado, não controlas a versão do PHP: confirma no painel ou junto do fornecedor que o servidor já está numa das versões 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.