PHP lançou em 21 de outubro de 2026 versões de emergência 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para corrigir duas vulnerabilidades críticas que permitem execução remota de código não autenticada. A Amazon Threat Intelligence identificou uma tentativa de exploração em 17 de outubro, quatro dias antes dos patches serem disponibilizados, originária de endereço IP associado a rede de anonimização comercial.
As vulnerabilidades foram identificadas como CVE-2026-109618 e CVE-2026-109619, ambas classificadas com CVSS 9.2 e denominadas php2shell. Tratam-se de falhas de segurança de memória no ciclo de vida da requisição: uma ocorre no tratamento de falta de memória e outra em estado que sobrevive à memória que a suporta. Conforme relatório de Sansec, as vulnerabilidades estão presentes em todas as versões não corrigidas desde PHP 5.4. A PHP Foundation declarou que não existem mitigações completas e que atualizar é a única escolha segura.
A exposição varia conforme o método de distribuição do PHP. O Apache mod_php apresenta execução remota de código confirmada para ambas as vulnerabilidades, validada sobre HTTP com limites padrão de entrada e memória do PHP. Para PHP-FPM, apenas o caso do ciclo de sessão foi validado com exploração completa; para o bug de falta de memória, nenhum exploit FPM completo foi demonstrado. FrankenPHP é descrito como provavelmente suscetível por análise de código-fonte.
Cloudflare implementou regras de WAF às 03:02 UTC em 21 de outubro, aproximadamente nove horas antes do lançamento, enquanto a Amazon instruiu clientes a investigarem tentativas de exploração "a partir de pelo menos 17 de outubro", indicando que a detecção ocorreu em telemetria retrospectiva (MadPot).
O processo de divulgação coordenada colapsou prematuramente. De acordo com a PHP Foundation, os identificadores CVE começaram a circular dois dias antes do previsto, um pesquisador publicou acidentalmente um vídeo com prova de conceito, e Chainguard quebrou unilateralmente o embargo publicando imagens construídas contendo o fix. A consequência foi que atacantes puderam estudar o fix em forma binária enquanto todos os outros usuários do PHP ainda aguardavam o lançamento. A política de divulgação publicada de Chainguard permite encurtar cronogramas quando uma vulnerabilidade é descoberta sob exploração ativa.
Alguns operadores interromperam seus serviços por precaução. O centro cibernético nacional holandês levou seu website offline, assim como a Câmara dos Deputados holandesa. Contudo, Sansec aconselhou lojistas que não havia necessidade de desligar. Muitos proprietários de sites enfrentaram dificuldades para determinar se PHP estava em execução, pois ele frequentemente roda atrás de OPNsense, OpenMediaVault, Nextcloud e Coolify, com containers dificultando a visibilidade de quais linguagens estavam em uso.
A obtenção de pacotes também se mostrou problemática. Debian Trixie recebeu o patch rapidamente enquanto Ubuntu, Red Hat e imagens Docker oficiais atrasaram. A equipe de segurança do Ubuntu não havia publicado nada treze minutos após a divulgação. Ondřej Surý, mantenedor do PPA Launchpad, recebeu reconhecimento massivo na comunidade r/PHP, mas sua PPA ficou sobrecarregada sob a demanda, direcionando operadores para packages.sury.org, onde a PPA estava sendo consolidada. Um time construiu imagens Docker do Dockerfile em oito minutos, evitando o Docker Hub.
Confirmar que o patch foi instalado se provou uma armadilha adicional. Distros fazem backport de patches: a versão corrigida do Ubuntu 24.04 é 8.3.6-0ubuntu0.24.04.13, mas ainda reporta 8.3.6 em php -v, exigindo verificação da versão completa do pacote contra rastreadores da distribuição, não apenas a saída do comando php -v. A interface de linha de comando não é o servidor web, e workers FPM/Apache mantêm a engine antiga na memória até serem reiniciados. Ambos os avisos de PHP instruem operadores a reiniciar cada worker após atualizar.
A severidade ainda é contestada. Ambas as CVEs apresentam AC:H e AT:P, indicando complexidade de ataque alta com requisitos adicionais. Sansec revisou sua expectativa de exploração em massa, observando que exploits públicos não funcionam contra instalação padrão de PHP. Pesquisadores também documentaram falsas provas de conceito circulando como brincadeiras no GitHub, incluindo uma que alterava o wallpaper da vítima. A maioria dos PoCs com muitas estrelas não funciona em PHP vanilla.
O trabalho de segurança em PHP ainda depende de um pequeno grupo de desenvolvedores financiados pela Foundation. A política de fim de vida também gerou crítica: PHP 8.1 e versões anteriores não recebem patches de segurança do projeto, embora backports mínimos tenham sido publicados para 7.4, 8.0 e 8.1. Ubuntu forneceu fixes até versão 14.04 sob ESM. PHP 8.2 chega ao fim de vida em 31 de dezembro de 2026.
Uma terceira questão, CVE-2026-115560, permanece sem patch. PHP recomenda desabilitar session.upload_progress.enabled=0 até o próximo bugfix release, quando publicará o aviso completo.
