Falhas afetam servidores PHP 5.4 ou posteriores
Duas vulnerabilidades zero-day no PHP são rastreadas como CVE-2026-109618 e CVE-2026-109619. Segundo as informações publicadas, elas afetam servidores que executam PHP 5.4 ou versão posterior e podem permitir que um atacante execute código de sua escolha no servidor vulnerável.
As duas falhas receberam nota 9,2 de 10 em gravidade. A Cloudflare informou que detectou exploração das vulnerabilidades e que implementou regras de firewall de aplicações web às 3h02 UTC para proteção contra tráfego de ataque.
Os desenvolvedores do PHP disponibilizaram versões corrigidas: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. O Ubuntu também lançou pacotes PHP atualizados.
Alcance é ampliado pela presença do PHP na web
A W3Techs atribui ao PHP uso em 69,3% dos sites cuja linguagem de servidor é conhecida. A Censys identificou aproximadamente 2,58 milhões de hosts expostos à internet e 54,9 milhões de propriedades web executando PHP.
O PHP é usado por sistemas de publicação e aplicações web. O WordPress, que utiliza PHP, está presente em aproximadamente 39,6% dos sites da internet, segundo a W3Techs.
Rafael Silva, coordenador acadêmico da FIAP, associa a ampla adoção da linguagem ao baixo custo de desenvolvimento, à disponibilidade de hospedagem e ao crescimento de plataformas como o WordPress. Segundo ele, aplicações antigas podem acumular dependências e integrações que tornam a manutenção mais complexa.
Atualização e identificação de instalações
A recomendação publicada aos administradores é identificar instalações vulneráveis e aplicar as atualizações imediatamente. Quando isso não for possível, a orientação da Sophos é isolar os sistemas afetados da internet até que possam ser protegidos.
Don Smith, vice-presidente de Inteligência de Ameaças da Sophos CTU, afirmou que o desafio não se limita à instalação da correção: envolve identificar e gerenciar todas as instâncias em que o PHP está em execução. A linguagem pode estar presente em plataformas de hospedagem, sistemas de gerenciamento de conteúdo e produtos de terceiros.
Como recomendação editorial, gestores podem tratar o inventário de sistemas e versões como ponto de partida para organizar a resposta. Essa medida não substitui a aplicação das correções disponibilizadas para as versões afetadas.