Duas falhas críticas no PHP exigem atualização imediata

Segurança

22 Outubro, 2026

Atualizações do PHP corrigem duas falhas críticas de execução remota sem autenticação. Veja os CVEs e como a DeltaCloud protege suas hospedagens gerenciadas.

Atualizado em 22 de outubro de 2026. Em 21 de outubro, a equipe do PHP publicou correções para duas falhas críticas que podem permitir execução remota de código (RCE) sem autenticação. Cada vulnerabilidade recebeu pontuação 9,2 no CVSS v4.0. O alerta antecipado saiu em 20 de outubro; os detalhes e versões corrigidas foram divulgados no dia seguinte.

Como as falhas estão no runtime do PHP, atualizar apenas WordPress, plugins ou o código do site não corrige o problema. A correção precisa chegar ao pacote PHP que atende as requisições e aos workers que já estavam em execução.

Quais falhas foram corrigidas?

CVE-2026-109618, corrupção durante falta de memória: em determinados caminhos de processamento de uma requisição, uma falha de alocação pode deixar dados internos parcialmente inicializados e fazer a rotina de encerramento usar estado inválido.
CVE-2026-109619, estado global obsoleto: um worker pode manter uma referência a dados de uma requisição depois que a memória correspondente foi liberada. Uma requisição seguinte pode encontrar esse estado antes da inicialização normal.

Em configurações vulneráveis, essas condições podem levar à execução remota de código. A equipe do PHP inclui PHP-FPM, Apache com mod_php, CGI, FrankenPHP e LiteSpeed entre as instalações que atendem requisições web. O risco demonstrado é maior em mod_php; a suscetibilidade nos demais SAPI depende do ambiente, mas todos devem aplicar a correção do fornecedor.

Versões PHP com correção oficial

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

Em distribuições com suporte estendido, o fornecedor pode aplicar um backport de segurança sem alterar o número principal exibido pelo PHP. Em servidores CloudLinux, por exemplo, o pacote corrigido pode ainda mostrar uma versão upstream anterior. Confirme os CVEs no changelog do pacote e no canal oficial do fornecedor; não conclua que o runtime está vulnerável apenas pelo resultado de php -v.

rpm -q --changelog ea-php84-php-cli | grep -E 'CVE-2026-(109618|109619)'

O PHP 8.2 encerra o suporte oficial em 31 de dezembro de 2026. Se um projeto ainda usa uma versão antiga, confirme se existe backport de segurança mantido pelo fornecedor e planeje a migração para uma linha suportada.

O que os administradores devem fazer

Atualizar cada runtime instalado pelo repositório e pelo painel de controle suportados pelo fornecedor.
Reiniciar os serviços e workers PHP para que processos antigos deixem de atender requisições.
Verificar a configuração efetivamente servida por PHP-FPM, LiteSpeed ou Apache, além da versão do PHP CLI.
Para versões sem pacote corrigido, organizar a migração. Configurações temporárias reduzem caminhos específicos, mas não substituem o pacote corrigido.

Proteção nos serviços gerenciados da DeltaCloud

Todas as hospedagens e serviços gerenciados pela DeltaCloud (hospedagem compartilhada, revenda e e-mail) já estão com o PHP corrigido para a CVE-2026-109618 e a CVE-2026-109619. As correções foram aplicadas entre 21 e 22 de outubro de 2026 e os serviços web foram reiniciados em 22 de outubro, para que nenhum processo continuasse com a versão anterior. Nos pacotes corrigidos de CloudLinux, o número exibido por php -v pode continuar o mesmo, porque a correção é feita sem mudar a versão. Os clientes desses serviços não precisam alterar o código nem atualizar o site para receber essa proteção.

O que não está incluído: VPS e servidores dedicados (bare metal) sem gerenciamento da DeltaCloud não foram alterados. Quem administra o próprio servidor precisa atualizar o PHP pelo fornecedor da distribuição, reiniciar o PHP-FPM ou o servidor web e conferir a versão realmente em uso, não só a do terminal. Se a sua versão não tiver correção mantida, planeje a migração; desativar apenas um recurso vulnerável não equivale a instalar o patch.

Uma mitigação temporária não substitui a atualização

Desativar session.upload_progress antes do processamento da requisição bloqueia alguns caminhos confirmados para a CVE-2026-109619, mas não todos. Essa medida não corrige a CVE-2026-109618 e não torna um runtime vulnerável seguro. A recomendação principal é atualizar para o pacote corrigido pelo PHP ou pelo fornecedor da plataforma.

Perguntas frequentes

É uma falha específica do WordPress?

Não. A falha está no interpretador PHP e pode atingir diferentes aplicações executadas por um runtime vulnerável. Atualizar somente o CMS ou seus plugins não substitui a atualização do PHP.

Meu painel ainda exibe uma versão anterior. Isso significa que não foi corrigida?

Não necessariamente. Alguns fornecedores publicam backports mantendo o número upstream. Confira o changelog do pacote e a orientação do fornecedor, e confirme que os workers foram reiniciados.

Preciso fazer algo no meu site hospedado pela DeltaCloud?

Não. Nos serviços gerenciados pela DeltaCloud, o PHP já foi corrigido e os serviços reiniciados. Mantenha sua aplicação, temas e plugins atualizados normalmente. Em VPS e servidores dedicados administrados pelo próprio cliente, a atualização do runtime é responsabilidade de quem administra o servidor.