CVE-2026-109618 E CVE-2026-109619 (CVSS 9.2)

VULNERABILIDADES CRÍTICAS DE EXECUÇÃO REMOTA DE CÓDIGO NO PHP

Destinatários: Órgãos do SISP que utilizam PHP em seus ambientes, especialmente em aplicações e serviços web expostos à internet.

Resumo:
Em 21 de outubro de 2026, a equipe de segurança do PHP divulgou correções para duas vulnerabilidades críticas, identificadas como CVE-2026-109618 e CVE-2026-109619, ambas com pontuação CVSS v4.0 de 9.2, conhecidas como PHP2Shell.

As falhas afetam diretamente o núcleo do PHP e podem permitir que atacantes remotos não autenticados executem comandos arbitrários nos servidores afetados, comprometendo a segurança das aplicações e da infraestrutura.

As vulnerabilidades estão relacionadas a falhas no gerenciamento de memória e no tratamento de estados internos durante o processamento de requisições HTTP:

CVE-2026-109618: falha no tratamento de condições de memória insuficiente (Out-of-Memory), que pode deixar estruturas internas em estado inconsistente, possibilitando execução remota de código.
CVE-2026-109619: falha no gerenciamento de estados globais, permitindo que referências a áreas de memória já liberadas sejam reutilizadas por requisições posteriores.

As vulnerabilidades não estão restritas a aplicações ou frameworks específicos, podendo afetar ambientes que utilizam PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O risco é especialmente elevado em ambientes com mod_php, nos quais já foi demonstrada exploração sem autenticação, antes mesmo da execução do código da aplicação.

IMPACTO

Execução remota de comandos sem necessidade de autenticação;
Possibilidade de comprometimento de servidores e aplicações web;
Acesso não autorizado, alteração ou vazamento de informações;
Possibilidade de movimentação lateral e comprometimento de outros ativos da infraestrutura.

AÇÕES RECOMENDADAS

Atualizar imediatamente o PHP para as versões corrigidas: 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou versões posteriores das respectivas linhas.
Identificar os servidores e aplicações que utilizam PHP, priorizando aqueles expostos à internet.
Para versões PHP 8.1 e anteriores, que não recebem mais atualizações regulares do projeto, avaliar a migração para versões suportadas ou a aplicação de correções disponibilizadas pelos fornecedores.
Caso a atualização imediata não seja possível, adotar temporariamente as seguintes medidas de mitigação:
- Configurar session.upload_progress.enabled=0 e reiniciar todos os processos PHP, reduzindo a exposição aos caminhos de exploração conhecidos da CVE-2026-109619.
- Para PHP 8.5, configurar também fatal_error_backtraces=0 e reiniciar os processos.
- Avaliar a configuração memory_limit=-1, preferencialmente em nível administrativo, para reduzir os cenários de exploração associados à CVE-2026-109618.
- Restringir o tamanho das requisições HTTP, configurando post_max_size e upload_max_filesize, além de implementar controles de tamanho e quantidade de campos no servidor web ou proxy.
- Restringir temporariamente o acesso aos serviços expostos à internet, quando viável.
Intensificar o monitoramento de processos PHP, registros de erros, encerramentos inesperados e atividades suspeitas que possam indicar tentativas de exploração.

Importante: As medidas de mitigação reduzem a exposição a determinados métodos de exploração, mas não eliminam completamente as vulnerabilidades. A atualização para uma versão corrigida é a única medida considerada eficaz pelo time de segurança do PHP.

REFERÊNCIAS

Comunicado oficial do PHP: https://www.php.net/archive/2026.php#2026-10-21-5
CVE-2026-109618: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
CVE-2026-109619: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

Em caso de dúvidas ou identificação de incidentes relacionados, entre em contato com o CISC GOV.BR pelo endereço cisc@gestao.gov.br.

Vulnerabilidades crí´ticas de execução remota de código PHP

Links de compartilhamento em redes sociais