Notícias

ALERTA 93/2026

Vulnerabilidades críticas que afeta o PHP

Publicado em 21/10/2026 15h29 Atualizado em 21/10/2026 15h32

[TLP:CLEAR]

1. Foi publicada uma atualização de segurança para corrigir duas vulnerabilidades críticas no PHP, que podem permitir a execução remota de código (Remote Code Execution — RCE) por um atacante não autenticado. As falhas estão relacionadas ao tratamento de erros de falta de memória e ao gerenciamento de estados internos durante o processamento de requisições, podendo ocasionar corrupção ou uso indevido de memória.

As vulnerabilidades são identificadas pelos seguintes registros na base Common Vulnerabilities and Exposures (CVE):

2. Conforme informações oficiais do projeto PHP, foram disponibilizadas versões com as correções para ambas as vulnerabilidades:

Produto: PHP. Versões corrigidas: 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Versões afetadas: instalações anteriores às respectivas versões corrigidas, conforme a linha de desenvolvimento e o suporte disponibilizado pelo fornecedor.

As falhas podem afetar diferentes configurações de execução do PHP, incluindo Apache com mod_php, PHP-FPM e php-cgi. O impacto e as condições de exploração podem variar de acordo com a configuração do ambiente e o processamento das requisições pela aplicação.

3. O CTIR Gov recomenda que as instituições identifiquem os sistemas, servidores, aplicações e serviços que utilizam PHP, verifiquem as versões instaladas e apliquem imediatamente as atualizações de segurança disponibilizadas pelo fornecedor, observando a compatibilidade e os procedimentos de mudança de cada ambiente.

Caso a atualização imediata não seja viável, recomenda-se avaliar medidas temporárias para reduzir a exposição dos sistemas vulneráveis, como restringir o acesso às aplicações expostas à Internet. Ressalta-se, entretanto, que tais medidas não substituem a aplicação das correções de segurança.

Links adicionais:

Comunicado oficial do PHP

4. Resumo sobre criticidade:

Listada no catálogo CISA KEV: a confirmar em consulta à base oficial.
CVSS Base Score: consultar as bases oficiais para cada CVE e registrar a versão da métrica utilizada.
EPSS: consultar a pontuação atualizada para cada CVE.
Percentile EPSS: consultar o percentil atualizado para cada CVE.

a) O que é o Cybersecurity and Infrastructure Security Agency Known Exploited Vulnerabilities Catalog (CISA KEV)?

É um catálogo mantido pela agência norte-americana CISA que reúne vulnerabilidades para as quais existem evidências de exploração ativa. A inclusão no catálogo constitui um indicador relevante para a priorização das ações de correção.

Fonte: https://www.cisa.gov/known-exploited-vulnerabilities

b) O que é o Common Vulnerability Scoring System (CVSS)?

É uma metodologia aberta utilizada para avaliar e comunicar a gravidade de vulnerabilidades de segurança. A pontuação considera diferentes características da vulnerabilidade, sendo a escala de 0,0 a 10,0 utilizada na métrica Base. Quanto maior a pontuação, maior a gravidade indicada por essa métrica.

Fonte: https://www.first.org/cvss/

c) O que é o Exploit Prediction Scoring System (EPSS)?

É um modelo que estima a probabilidade de uma vulnerabilidade ser explorada na prática nos próximos 30 dias. A pontuação é atualizada diariamente e deve ser interpretada como um indicador de probabilidade, não como confirmação de exploração.

Fonte: https://www.first.org/epss/

5. O CTIR Gov ressalta que, de acordo com o artigo 12, inciso IX, do Decreto nº 10.748, de 16 de julho de 2021, os órgãos pertencentes à Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC) devem sanar, com urgência, as vulnerabilidades cibernéticas, especialmente aquelas identificadas em alertas e recomendações.

Referência: https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2021/decreto/d10748.htm

6. Informações sobre a Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC): https://www.gov.br/ctir/regic

7. Informações sobre o Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST): https://www.gov.br/ctir/tlp

Equipe CTIR Gov.

[TLP:CLEAR]

Categoria