Vinicius Balbino 
PHP — Administradores de sites e provedores enfrentam uma janela crítica: duas vulnerabilidades graves em PHP (CVE-2026-109618 e CVE-2026-109619) com pontuação CVSS 9.2 podem permitir execução remota de código e já motivaram patches emergenciais programados para 21 de outubro às 14:00 UTC.
Gravidade alta e patch emergencial marcado
As falhas receberam avaliação de severidade crítica (CVSS 9.2) e a equipe de desenvolvimento do PHP sinalizou a liberação de correções de emergência no dia 21 de outubro às 14:00 UTC. A natureza das vulnerabilidades ainda não foi detalhada publicamente, o que aumenta a urgência para quem mantém servidores expostos.
Agências de resposta a incidentes de segurança cibernética recomendaram identificar rapidamente sistemas vulneráveis e planejar a aplicação imediata dos patches; em casos onde a atualização não for viável, foi sugerida a isolação temporária das aplicações afetadas.
"Estamos vendo ataques iniciais emergentes e atualizando mitigações conforme novos vetores aparecem", afirmou Dane Knecht, destacando que regras WAF foram aplicadas como proteção temporária.
Alcance do risco e mitigação temporária
O impacto é amplo porque muitas plataformas populares—incluindo WordPress, Drupal, Joomla e Magento—dependem de PHP em seus servidores, o que pode expor sites de conteúdos, e-commerces e painéis administrativos. Instalações antigas, como versões da linha PHP 5, podem estar particularmente em risco.
Intel Core Ultra 9 4995HX lidera Nova Lake com 28 núcleos
Leia a matéria completa →
Zephyrus G14: RMA devolve 16 GB em vez de 32 GB
Leia a matéria completa →
Lenovo, HP e Dell mudam foco para empresas e driblam alta da memória
Leia a matéria completa →
Tabela do Brasileirão 2026: classificação atualizadaVer classificação, artilharia e próximos jogos →Provedores de segurança já relataram observações de exploração ativa e implementaram proteções em Web Application Firewalls como medida temporária, mas essas regras não substituem as atualizações oficiais. Além disso, administradores de WordPress foram alertados que atualizar o próprio CMS não corrige vulnerabilidades no binário PHP do servidor.
O que você acha? Você já verificou a versão do PHP do seu site e tomou medidas para mitigar riscos? Para acompanhar mais, acesse nossa editoria.
Foto: Divulgação
Perguntas Frequentes
Quais versões do PHP são afetadas pelas falhas CVE-2026-109618 e CVE-2026-109619?
O PHP está no centro da alerta; as vulnerabilidades identificadas como CVE-2026-109618 e CVE-2026-109619 foram classificadas com CVSS 9.2 e podem alcançar versões antigas, com menção específica de que linhas remontando ao PHP 5 poderiam ser afetadas, embora a lista completa de versões vulneráveis ainda não tenha sido divulgada oficialmente.
Quando saem os patches e o que fazer até a atualização?
O PHP terá patches emergenciais programados para 21 de outubro às 14:00 UTC; enquanto as correções não chegam, a recomendação é identificar instalações expostas, aplicar regras temporárias de WAF e, se a atualização imediata não for possível, isolar os sites afetados de redes públicas até que o patch seja instalado.
Como afeta sites em WordPress, Drupal, Joomla e Magento e o que administradores devem verificar?
Sites que dependem de PHP, como WordPress, Drupal, Joomla e Magento, ficam vulneráveis a execução remota de código; administradores devem checar a versão do PHP no servidor, coordenar com provedores de hospedagem para aplicar os patches anunciados e lembrar que atualização do CMS não substitui atualização do PHP no servidor.
