No início de hoje, o projeto PHP lançou o PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Essas versões corrigem duas vulnerabilidades críticas que, nas condições certas, permitem que um invasor não autenticado execute código em servidores que rodam PHP. Quem usa PHP é fortemente aconselhado a atualizar imediatamente. O anúncio oficial no php.net contém detalhes técnicos e instruções de atualização.
A primeira falha, CVE-2026-109618, envolve condições de falta de memória (OOM). Se uma requisição atingir o memory_limit do PHP exatamente no momento errado, o PHP pode deixar dados internos parcialmente inicializados que depois são tratados como válidos, corrompendo a memória. No Apache com mod_php, uma requisição não autenticada pode disparar isso antes de qualquer código da aplicação ser executado, e a execução remota de código completa foi demonstrada com as configurações padrão. A segunda, CVE-2026-109619, é um problema de estado obsoleto: um erro fatal pode deixar o estado interno apontando para memória de uma requisição anterior, possibilitando um use-after-free que foi demonstrado contra uma aplicação real.
Ambos os problemas estão em áreas centrais do PHP que quase toda requisição utiliza: gerenciamento de memória e tratamento de erros. Esse papel central os tornou graves e, ao mesmo tempo, difíceis de corrigir sem quebrar a compatibilidade, prejudicar o desempenho ou forçar mudanças no grande ecossistema de extensões de terceiros.
O problema de OOM foi identificado pela primeira vez durante uma auditoria de segurança externa em 2024, financiada pela PHP Foundation e conduzida pela Quarkslab. A correção ficou parada por meses enquanto a equipe de segurança avaliava abordagens concorrentes, cada uma com seus compromissos. A equipe reconhece que o atraso foi uma falha estrutural e está mudando seu processo de decisão, incluindo votação por maioria. Em maio de 2026, a PHP Foundation também criou uma Ecosystem Security Team para apoiar a triagem, a coordenação e o endurecimento do sistema.
Fonte: Hacker News · Resumido por HeadlinesBriefing