Falha crítica no PHP permite invasão sem senha; atualize já

Foi divulgada nesta terça-feira (21/10) uma falha crítica no PHP, identificada pelos códigos CVE-2026-109618 e CVE-2026-109619. A gravidade é alta: a vulnerabilidade permite que um invasor execute comandos diretamente no servidor sem precisar de usuário ou senha, apenas enviando uma requisição manipulada para qualquer site ou sistema que rode PHP.

Pior: já existe código de exploração público circulando. Na prática, isso significa que qualquer pessoa com conhecimento técnico mínimo pode usar ferramentas prontas para tentar comprometer servidores que ainda não foram corrigidos. O tempo entre a divulgação e as primeiras tentativas em massa costuma ser de horas, não dias.

O que a falha permite

As duas CVEs estão ligadas ao mecanismo de acompanhamento de upload de arquivos do PHP (o recurso session.upload_progress). Um atacante pode explorar a forma como esses dados são processados para rodar comandos arbitrários no sistema operacional do servidor.

Em termos simples: em vez de apenas enviar um arquivo ou preencher um formulário, o invasor consegue fazer o servidor executar instruções suas. A partir daí, o cenário pode ir do roubo de dados à instalação de ransomware, mineração de criptomoedas ou uso da máquina como ponto de partida para atacar outros sistemas da rede.

Como o PHP está por trás de uma fatia enorme da web — WordPress, Laravel, sistemas de gestão, lojas virtuais, painéis administrativos e inúmeras aplicações internas —, o número de alvos potenciais é imenso.

Quem é afetado

Qualquer servidor que:

• Rode PHP em versões anteriores às corrigidas;
• Esteja exposto à internet (sites públicos, APIs, portais);
• Tenha o recurso session.upload_progress ativo (ele vem ligado por padrão em muitas instalações).

Isso inclui tanto servidores próprios quanto aplicações hospedadas em VPS e servidores dedicados sob sua responsabilidade. Em hospedagens compartilhadas, a correção normalmente fica a cargo do provedor — mas vale confirmar.

A correção: atualizar o PHP

A solução definitiva é atualizar o PHP para uma das versões já corrigidas:

• 8.5.12
• 8.4.27
• 8.3.36
• 8.2.35

Se você usa uma distribuição Linux (Debian, Ubuntu, Rocky, AlmaLinux etc.), o caminho recomendado é instalar o pacote corrigido da própria distribuição, assim que estiver disponível. As equipes de segurança dessas distribuições costumam liberar os patches rapidamente após o anúncio de falhas desse porte. Mantenha o sistema atualizado com os comandos normais de atualização de pacotes (apt update && apt upgrade ou dnf update, conforme o caso) e verifique a versão do PHP com php -v depois.

Se você não puder atualizar agora

Em alguns ambientes, atualizar na hora não é trivial — há testes de compatibilidade, janelas de manutenção e sistemas legados envolvidos. Nesses casos, existe uma mitigação temporária que reduz bastante o risco:

Desligue a opção session.upload_progress.enabled no arquivo php.ini ou no pool do PHP-FPM:

session.upload_progress.enabled = Off

Depois, reinicie o serviço PHP-FPM (ou o servidor web) para aplicar a mudança.

Essa alteração fecha o vetor principal de exploração descrito nas CVEs e, na prática, não afeta o funcionamento da maioria dos sites — pouquíssimas aplicações dependem desse recurso. Ainda assim, é importante deixar claro: isso é uma medida paliativa, não substitui a atualização. Aplique o patch assim que possível.

O que fazer nas próximas horas

1. Identifique quais servidores e aplicações rodam PHP e em qual versão.
2. Aplique a atualização para uma das versões corrigidas, ou instale o pacote da sua distribuição.
3. Se não der para atualizar agora, desative o session.upload_progress como medida provisória.
4. Confira os logs de acesso recentes em busca de requisições suspeitas — como há exploit público, ataques podem já estar ocorrendo.
5. Em hospedagem gerenciada, cobre do provedor a confirmação de que o patch foi aplicado.

Falhas que permitem execução remota de código sem autenticação estão entre as mais graves que existem, justamente porque dispensam qualquer credencial. Com código de exploração já público, cada hora de servidor desatualizado é uma janela aberta. Priorize a correção.