PHP é atualizado com correções para vulnerabilidades sérias após aviso de segurança

No dia 21 de setembro, a equipe responsável pelo PHP divulgou atualizações de segurança para duas falhas que receberam uma classificação de 9,2 em uma escala de 10 no CVSS 4.0. O anúncio foi feito um dia antes, na terça-feira (20), segundo informações do projeto.

A empresa SlowMist reportou que há 793 domínios relacionados ao setor de criptomoedas utilizando PHP e solicitou que plataformas, projetos DeFi e provedores de carteiras realizem uma análise da sua vulnerabilidade e implementem as versões corrigidas. A ferramenta MistEye da SlowMist conduziu uma varredura global em ativos PHP no setor. Até o momento, não foram registrados incidentes de ataques contra projetos dessa área, e o comunicado não mencionou nomes específicos.

As vulnerabilidades estão identificadas sob os códigos CVE-2026-109618 e CVE-2026-109619. A primeira está relacionada ao gerenciamento de memória na linguagem, enquanto a segunda diz respeito à persistência de dados de um pedido mesmo após a liberação do espaço correspondente. As correções estão disponíveis para as versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

Apesar da linha 8.1 e versões anteriores não contarem mais com suporte contínuo, a equipe disponibilizou correções mínimas para as versões 7.4, 8.0 e 8.1. Para aqueles que não conseguem aplicar as atualizações imediatamente, os desenvolvedores apresentaram recomendações de configuração que podem ajudar a mitigar as duas vulnerabilidades.