O CTIR Gov, centro do governo federal que previne e responde a incidentes cibernéticos, emitiu em outubro um alerta classificando como “crítica e urgente” a atualização do PHP nos órgãos da administração direta e indireta. O motivo são duas vulnerabilidades críticas que permitem a execução remota de código em servidores, e que já estão sendo exploradas por criminosos.
O PHP é a linguagem por trás de grande parte da web, incluindo sites em WordPress. Por isso o alerta interessa também a empresas, agências e profissionais que mantêm sites e sistemas.
Resumo rápido
- Quem alertou: CTIR Gov (governo federal)
- Para quem: administração direta e indireta
- Falhas: CVE-2026-109618 e CVE-2026-109619, do tipo “use after free”
- Risco: execução remota de código
- Exploração: já ocorre; a CISA, agência de cibersegurança dos EUA, incluiu as falhas no catálogo de vulnerabilidades exploradas em 26 de outubro
- Correção: disponível desde 21 de outubro
Versões afetadas e corrigidas
| Ramo do PHP | Vulnerável antes de | Atualize para |
|---|---|---|
| 8.5 | 8.5.12 | 8.5.12 ou superior |
| 8.4 | 8.4.27 | 8.4.27 ou superior |
| 8.3 | 8.3.36 | 8.3.36 ou superior |
| 8.2 | 8.2.35 | 8.2.35 ou superior |
Segundo o Centro Canadense de Cibersegurança, o PHP 8.1 e as versões mais antigas não recebem mais atualizações do projeto oficial. Quem usa essas versões deve procurar o fornecedor (algumas distribuições oferecem correções próprias) ou migrar para uma versão suportada.
Segundo o CTIR Gov, as falhas podem afetar configurações com Apache e mod_php, PHP-FPM e php-cgi.
O que o CTIR Gov recomenda
- Inventário: identificar sistemas, servidores, aplicações e serviços que usam PHP e as versões instaladas.
- Correção imediata: aplicar as atualizações de segurança, respeitando a compatibilidade e os procedimentos de mudança de cada ambiente.
- Contorno temporário: se não der para atualizar logo, restringir o acesso às aplicações expostas à internet. O órgão ressalta que isso não substitui a correção.
Recomendações complementares
O alerta canadense acrescenta outras medidas:
- Priorizar sistemas expostos à internet e que recebem dados de usuários.
- Verificar produtos de terceiros, appliances e containers que trazem PHP embutido.
- Revisar logs do servidor web, da aplicação e de autenticação em busca de atividade suspeita.
- Investigar processos, arquivos, contas ou conexões inesperadas ligadas ao PHP.
Atenção: terceira falha ainda sem correção
Uma terceira vulnerabilidade, a CVE-2026-115560, também permite execução remota de código e não foi corrigida pelas atualizações de 21 de outubro. Até sair a correção, a equipe de segurança do PHP recomenda configurar session.upload_progress.enabled=0. Segundo o alerta, a exposição exige uma combinação incomum de configuração e comportamento da aplicação.
E se meu site está em hospedagem compartilhada?
Em hospedagem compartilhada, a atualização do PHP normalmente é feita pelo provedor. Confira no painel qual versão o seu site usa e, se for uma versão sem suporte ou vulnerável, peça a troca ao suporte da hospedagem.
Dica Dias Tech: versão de PHP é item de segurança, não detalhe técnico. Coloque a revisão da versão na rotina mensal do seu site ou sistema.
Com informações da Convergência Digital e do Centro Canadense de Cibersegurança.
Éverson Dias é desenvolvedor, cientista da computação e entusiasta das tecnologias. Na Dias Tech, descomplica IA, segurança digital e gadgets para você usar a tecnologia a seu favor.
