PHP publica correções de emergência para duas falhas críticas de RCE exploradas antes da divulgação

O projeto PHP publicou patches de segurança de emergência em 21 de outubro de 2026 para corrigir duas vulnerabilidades críticas de execução remota de código sem autenticação, mas os invasores já as exploravam desde 17 de outubro, quatro dias antes dos patches chegarem. A Agência de Segurança Nacional dos EUA aconselhou organizações que usam PHP a atualizar imediatamente ou colocar os sistemas afetados offline.

Ambas as falhas têm pontuação CVSS v4.0 de 9.2. Sites governamentais, escolas e hospitais em todo o mundo ficaram offline durante o processo de correção de emergência, segundo a Reuters. Especialistas em segurança compararam o alcance à crise Heartbleed de 2014, indicando que a supera em alguns aspectos.

O que são as vulnerabilidades

CVE-2026-109618 é uma falha de corrupção de memória por esgotamento de memória. Se uma requisição PHP atinge o limite de memória no momento errado, o ambiente de execução pode deixar dados parcialmente inicializados que o PHP trata como válidos posteriormente. No Apache com mod_php, um atacante não autenticado pode acioná-la antes que o código do aplicativo seja executado, e RCE completa foi demonstrada em configurações padrão.

CVE-2026-109619 explora estado global obsoleto. Um erro fatal no momento errado pode deixar o estado interno do PHP apontando para memória de uma requisição anterior. Uma requisição posterior no mesmo processo worker pode explorar esse ponteiro pendente, permitindo use-after-free e RCE confirmada.

Ferramentas de IA encontraram as falhas; vazamento do embargo acelerou a crise

Várias equipes de pesquisa encontraram a causa raiz de forma independente a partir de agosto de 2026. Alpha-Omega havia analisado o PHP com o Claude Mythos da Anthropic. Participantes do programa Patch the Planet da OpenAI enviaram o primeiro relatório completo de RCE em 11 de agosto. Em 20 de outubro, os CVE IDs e uma pontuação CVSS incorreta de 10.0 vazaram online. O pesquisador Calif publicou acidentalmente um vídeo de prova de conceito funcional. Na manhã seguinte, a Chainguard quebrou o embargo publicando imagens Docker corrigidas mais de seis horas antes. Analistas da AWS confirmaram ao Wired que a exploração começou em 17 de outubro.

A correção levou meses, e esse foi o fracasso real

A PHP Foundation reconheceu que a causa raiz foi identificada em 2024, mas a correção foi adiada meses por desentendimentos sobre compromissos de implementação. A Foundation chamou isso de «falha estrutural» e anunciou uma nova Equipe de Segurança do Ecossistema, contratações adicionais e reformas nos processos de tomada de decisão.