'/%3E%3C/g%3E%3Cuse%20href='%23c'%20transform='matrix(-1%200%200%201%20720%200)'/%3E%3C/svg%3E){kind=small}
'/%3E%3C/svg%3E){kind=small}
🔎 O que aconteceu?
A equipa de segurança do PHP publicou um aviso antecipado relativo a duas vulnerabilidades críticas, identificadas como CVE-2026-109618 e CVE-2026-109619, ambas classificadas com uma pontuação CVSS v4.0 de 9.2 (Critical).
Devido à gravidade das vulnerabilidades, está prevista para hoje, 21 de outubro de 2026, às 14:00 UTC (15:00 em Portugal continental), a publicação de atualizações de segurança de emergência.
Por motivos de segurança, os detalhes técnicos das vulnerabilidades, as versões de PHP afetadas e as respetivas versões corrigidas ainda não foram divulgados. Esta informação será publicada pela equipa do PHP em simultâneo com as atualizações.
A equipa de segurança do PHP recomenda que todos os utilizadores e administradores de sistemas se preparem para proceder à atualização assim que as novas versões estejam disponíveis.
O PHP indicou ainda que poderá antecipar a publicação caso os detalhes de alguma das vulnerabilidades se tornem públicos ou sejam identificadas evidências de exploração ativa.
🔗 Referências:
- PHP – Upcoming Critical PHP Security Release: https://www.php.net/archive/2026.php#2026-10-20-1
- CERT-EU – Security Advisory 2026-018: https://cert.europa.eu/publications/security-advisories/2026-018/
- CloudLinux – Critical PHP vulnerabilities CVE-2026-109618 / CVE-2026-109619: https://cloudlinux.statuspage.io/incidents/zl0vt1yq3dj5
⚠️ O que afeta?
Com a publicação das atualizações de segurança a 21 de outubro de 2026, foram confirmados os detalhes das CVE-2026-109618 e CVE-2026-109619.
Para as versões atualmente suportadas pelo projeto PHP, as correções encontram-se disponíveis a partir das seguintes versões:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
As vulnerabilidades podem afetar instalações PHP que processem pedidos Web através de diferentes interfaces e ambientes, incluindo:
- PHP-FPM
- Apache com mod_php
- php-cgi
- FrankenPHP
- LiteSpeed / LSAPI
Segundo a informação técnica entretanto divulgada, Apache mod_php apresenta o cenário de maior risco. PHP-FPM, LiteSpeed/LSAPI e FrankenPHP também são afetados em determinadas configurações.
As vulnerabilidades podem permitir execução remota de código sem autenticação, sendo por isso recomendada a instalação das versões corrigidas assim que estas estejam disponíveis para cada plataforma.
Versões antigas do PHP
As versões do PHP que já atingiram o fim do período de suporte oficial (End of Life – EOL) não recebem atualizações regulares diretamente do projeto PHP.
No entanto, no contexto destas vulnerabilidades, a CloudLinux anunciou a preparação de correções de segurança para todas as versões alt-php, desde PHP 5.2 até PHP 8.5. O cPanel anunciou igualmente a preparação de pacotes corrigidos ea-php74 até ea-php85 através do EasyApache 4.
Estas correções extraordinárias permitem proteger ambientes que ainda necessitem temporariamente de versões antigas do PHP, mas não alteram o estado de suporte oficial dessas versões.
Independentemente destas vulnerabilidades, recomendamos que os clientes utilizem, sempre que possível, versões recentes, estáveis e oficialmente suportadas do PHP, mantendo igualmente as aplicações, plugins, temas e restantes dependências atualizados e compatíveis.
A utilização de uma versão suportada permite beneficiar das atualizações regulares de segurança e reduz a dependência de correções extraordinárias disponibilizadas pelos fornecedores das plataformas.
Alterar a versão do PHP no cPanel
Em ambiente de Alojamento Web Partilhado com cPanel, poderá consultar no vídeo abaixo como definir a versão PHP:
Pode encontrar mais detalhes no seguinte artigo: cPanel – Alterar Versão do PHP
Deve ser evitada a utilização de versões do PHP que já tenham atingido o fim do período de suporte (End of Life – EOL). Embora algumas destas versões possam eventualmente receber correções extraordinárias através dos fornecedores das distribuições utilizadas nos servidores, essas atualizações poderão não ser disponibilizadas com a mesma prioridade ou rapidez das versões atualmente suportadas pelo PHP.
A utilização de uma versão suportada permite beneficiar das atualizações regulares de segurança e reduz o risco associado à utilização de versões antigas para as quais já não existe manutenção oficial.
🧠 Impacto técnico
As duas vulnerabilidades permitem execução remota de código sem autenticação (Unauthenticated Remote Code Execution – RCE) e encontram-se classificadas com CVSS v4.0 de 9.2 (Critical).
A CVE-2026-109618 resulta de uma situação de corrupção de memória associada ao tratamento de erros Out of Memory (OOM).
Em determinadas condições, o PHP pode interromper o processamento de um pedido enquanto estruturas internas ainda não se encontram totalmente inicializadas. Durante o encerramento desse pedido, essas estruturas inválidas podem posteriormente ser interpretadas como válidas, permitindo corrupção de memória e, em condições controladas por um atacante, execução remota de código.
Foram identificadas várias formas de provocar esta situação, incluindo pedidos multipart especialmente construídos capazes de provocar consumo excessivo de memória durante o processamento do pedido. (GitHub)
A CVE-2026-109619 está relacionada com a manutenção incorreta de estado global entre diferentes pedidos processados pelo mesmo worker PHP.
Em determinadas situações, informação pertencente a um pedido pode permanecer referenciada após a libertação da memória correspondente. Um pedido posterior processado pelo mesmo worker pode reutilizar esse estado inválido antes de o PHP concluir a inicialização normal do novo pedido, originando uma condição de use-after-free.
Foram confirmados vários caminhos de exploração, incluindo o mecanismo PHP Session Upload Progress, erros fatais e determinados diagnósticos de configuração. A exploração foi validada tanto em mod_php como em PHP-FPM em cenários específicos. (GitHub)
O impacto confirmado inclui execução de código com os privilégios do processo Web, sem necessidade de autenticação ou interação do utilizador.
🛡️ Mitigação das vulnerabilidades
A correção definitiva destas vulnerabilidades consiste na atualização do PHP para uma versão que inclua os respetivos patches de segurança.
Enquanto os novos pacotes não se encontram disponíveis para todas as versões e distribuições, poderão ser aplicadas medidas temporárias destinadas a reduzir a superfície de ataque.
A CloudLinux recomenda, como medida parcial, a desativação da funcionalidade PHP Session Upload Progress:
session.upload_progress.enabled = 0
Após esta alteração é necessário reiniciar os respetivos serviços PHP, nomeadamente PHP-FPM, Apache ou LSAPI, consoante a configuração utilizada.
Esta medida bloqueia um dos vetores de exploração conhecidos, mas não elimina completamente as vulnerabilidades, pelo que não substitui a instalação das atualizações de segurança.
Adicionalmente, a CloudLinux já disponibilizou através do Imunify360/WAF regras destinadas a identificar e bloquear tentativas de exploração conhecidas das CVE-2026-109618 e CVE-2026-109619.
Estas regras constituem uma camada adicional de proteção, mas também não substituem a atualização do PHP.
🏗️ O que estamos a fazer
A equipa técnica da WebTuga encontra-se a acompanhar estas vulnerabilidades desde a publicação do primeiro alerta e está a preparar a atualização dos servidores afetados.
O projeto PHP já disponibilizou as versões corrigidas PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
Para os servidores que utilizam CloudLinux, estão atualmente em preparação novos pacotes alt-php para todas as versões desde PHP 5.2 até PHP 8.5, estando a CloudLinux a prever a sua disponibilização nas próximas horas.
Relativamente às versões PHP disponibilizadas através do EasyApache 4 do cPanel, encontram-se igualmente em preparação pacotes corrigidos ea-php74 até ea-php85, cuja distribuição está prevista através da versão EasyApache 4 v25.91.
Os servidores protegidos através do Imunify360/WAF dispõem já de regras destinadas a identificar e bloquear os padrões de exploração atualmente conhecidos.
Assim que os novos pacotes PHP sejam disponibilizados pelos respetivos fornecedores e concluída a necessária validação, as atualizações serão aplicadas com carácter prioritário nos servidores sob gestão da WebTuga.
Tratando-se de vulnerabilidades críticas que permitem execução remota de código sem autenticação, a aplicação das respetivas correções está a ser tratada com prioridade máxima.
📅 Linha de tempo
20/10/2026 – A equipa de segurança do PHP anuncia antecipadamente a existência de duas vulnerabilidades críticas e a preparação de uma atualização de segurança de emergência.
20/10/2026 – As vulnerabilidades são identificadas publicamente como CVE-2026-109618 e CVE-2026-109619, ambas com classificação CVSS v4.0 de 9.2.
20/10/2026 – A CloudLinux confirma que está a acompanhar a situação e aguarda a divulgação das informações técnicas e das versões corrigidas.
21/10/2026 – A equipa técnica da WebTuga mantém o acompanhamento do incidente e prepara a atualização dos servidores potencialmente afetados.
21/10/2026 – A CloudLinux disponibiliza no canal Stable a versão 8.83 do ruleset ModSecurity do Imunify360, incluindo uma regra de bloqueio para o padrão de exploração conhecido das CVE-2026-109618 e CVE-2026-109619.
21/10/2026 – A CloudLinux confirma que já estão a ser observadas tentativas de exploração correspondentes ao padrão conhecido e anuncia a preparação de regras heurísticas adicionais.
21/10/2026 – A mitigação através do Imunify360/WAF é distribuída automaticamente aos servidores protegidos, enquanto se aguarda a disponibilização das versões corrigidas do PHP e dos respetivos pacotes alt-php.
21/10/2026 – 15:00 – Hora prevista para a publicação das atualizações de segurança, versões afetadas e detalhes técnicos das vulnerabilidades.
21/10/2026 – 15:00 – O projeto PHP publica as versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12, corrigindo as CVE-2026-109618 e CVE-2026-109619.
21/10/2026 – 15:00 – São divulgados os detalhes técnicos das vulnerabilidades, sendo confirmada a possibilidade de execução remota de código sem autenticação.
21/10/2026 – A CloudLinux confirma a preparação de pacotes corrigidos para todas as versões alt-php, desde PHP 5.2 até PHP 8.5, com disponibilização prevista nas horas seguintes.
21/10/2026 – O cPanel prepara a disponibilização dos pacotes corrigidos ea-php74 até ea-php85 através do EasyApache 4 v25.91.
21/10/2026 – Mantêm-se ativas no Imunify360/WAF regras de proteção contra os padrões de exploração conhecidos.
✅ Estado atual
🟠 Correções disponíveis – Atualizações dos fornecedores em preparação
O projeto PHP já disponibilizou as versões corrigidas para os branches atualmente suportados.
A CloudLinux encontra-se a preparar os pacotes corrigidos alt-php 5.2 a 8.5, enquanto o cPanel prepara a distribuição dos pacotes ea-php74 a ea-php85 através do EasyApache 4.
Entretanto, encontram-se disponíveis através do Imunify360/WAF regras de proteção contra os padrões de exploração conhecidos.
A equipa técnica da WebTuga mantém o acompanhamento permanente da situação e procederá à aplicação das atualizações nos servidores assim que os respetivos pacotes sejam disponibilizados e validados.
Este artigo será atualizado à medida que as atualizações forem disponibilizadas e aplicadas.
🧾 Conclusão
As CVE-2026-109618 e CVE-2026-109619 são duas vulnerabilidades críticas no PHP que permitem execução remota de código sem autenticação. A equipa de segurança do PHP recomenda a atualização imediata para PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, consoante o branch utilizado. Não existe uma mitigação completa baseada apenas em configuração, pelo que a atualização é essencial. A WebTuga encontra-se a proceder à aplicação das correções assim que os respetivos pacotes são disponibilizados pelos fornecedores da infraestrutura.
A WebTuga continuará a acompanhar a situação e dará prioridade à aplicação das correções assim que estas estejam disponíveis.