PHP corrige duas falhas críticas de execução remota de código e publica recomendação adicional de segurança
PHP lança atualizações para corrigir CVE-2026-109618 e CVE-2026-109619, vulnerabilidades que permitem execução remota de código. Recomendação adicional envolve desativar recurso de upload.
O PHP publicou atualizações de segurança para corrigir duas vulnerabilidades críticas que podem permitir execução remota de código sem autenticação. As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, afetam múltiplas versões da linguagem e exigem ação imediata dos administradores de servidores.
Além das correções, o projeto emitiu uma recomendação adicional de segurança envolvendo a desativação temporária de um recurso relacionado ao progresso de uploads. A medida deve ser mantida até a próxima versão regular de correções.
Versões corrigidas
As versões que contêm as correções para as vulnerabilidades são:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Atualizar o PHP para uma dessas versões é a única forma de corrigir completamente as falhas.
Nova recomendação de segurança
Mesmo após a atualização, o projeto PHP recomenda desativar temporariamente o recurso de progresso de uploads. Essa medida está relacionada a um cenário adicional que será identificado como CVE-2026-115560.
A configuração deve ser aplicada no arquivo php.ini, no pool do PHP-FPM ou na configuração administrativa do servidor:
session.upload_progress.enabled = 0Após a alteração, todos os workers do PHP-FPM ou Apache devem ser reiniciados para que a mudança tenha efeito. Aplicações que utilizam o progresso nativo de uploads devem ser testadas antes da desativação do recurso.
O que você deve fazer
- Atualizar o PHP para a versão corrigida
- Desativar
session.upload_progress.enabledconforme recomendado - Reiniciar os workers do PHP-FPM ou Apache após a alteração
- Confirmar a versão do PHP executada pelo servidor web
- Verificar o changelog dos pacotes da distribuição Linux utilizada
- Testar aplicações que dependem do progresso nativo de uploads
- Manter a configuração até a próxima versão regular de correções
É importante lembrar que o suporte oficial do PHP 8.2 termina em 31 de dezembro de 2026.
Fontes
Encontrou algo útil por aqui?
Uma descoberta pode chegar a mais alguém ou dar início a uma conversa.
Compartilhe com quem pode aproveitar.
Uma boa leitura pode chegar à pessoa certa no momento certo.
Quando o assunto pede mais, a conversa continua.
Para desenvolver uma ideia, debater um ponto de vista ou só tomar um café virtual.