Notícias / Tecnologia
Vulnerabilidades PHP 2026: atualize já para corrigir as falhas críticas CVE-2026-109618 e CVE-2026-109619
Duas falhas críticas no PHP permitem atacar servidores sem palavra-passe. Atualize já para o PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
A equipa do PHP corrigiu a 21 de outubro duas vulnerabilidades críticas: CVE-2026-109618 e CVE-2026-109619. Ambas têm gravidade 9,2 em 10. Permitem executar código no servidor sem iniciar sessão. A NSA, a CISA e o CERT-EU pedem atualização imediata.
As versões corrigidas são o PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O PHP 8.1 e anteriores já não têm correção oficial. Ainda não há ataques confirmados, mas já circulam provas de conceito.
O que fazer já
- Faça a lista de tudo o que usa PHP: sites WordPress, lojas online, intranets e alojamento partilhado.
- Atualize para a versão corrigida e reinicie os serviços PHP.
- Se o site está alojado num fornecedor, peça-lhe confirmação de que já atualizou.
- Se não der para atualizar, limite o acesso ou retire o sistema da Internet até estar corrigido.
Precisa de ajuda a verificar os seus sites? Fale connosco.
Fontes
- PHP.net — Security advisory: Critical remote code execution vulnerabilities, update now (21 out 2026)
- PHP (GitHub) — GHSA-w8hw-w9fx-j79w, CVE-2026-109618 (21 out 2026)
- PHP (GitHub) — GHSA-6wmf-4rv5-p3rp, CVE-2026-109619 (21 out 2026)
- NSA — NSA Advisory: PHP Updates (21 out 2026)
- CISA — Critical Vulnerabilities in PHP Require Immediate Patching (21 out 2026)
- CERT-EU — Security Advisory 2026-018: Critical Vulnerabilities in PHP (21 out 2026)