A equipe de segurança do PHP, linguagem usada por muitos sites e sistemas web, pediu que administradores se preparem para instalar atualizações de emergência. Ela planeja liberar as correções na quarta-feira, 21/10, às 14h UTC (10h no horário da costa leste dos EUA), para duas vulnerabilidades, ambas com nota 9.2 na escala CVSS v4.0.

Essas falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, são do tipo execução remota de código (RCE), que permitiria a um invasor rodar comandos no servidor à distância. A pesquisadora da watchTowr, empresa de segurança, disse à BleepingComputer que as falhas devem afetar as versões 5, 6, 7 e 8 do PHP. Ela também afirmou ter conseguido reproduzir uma delas, mas não vai divulgar detalhes técnicos até que as correções existam.

O problema é que as informações vazaram antes da data combinada para divulgação. Um post, depois apagado, no fórum Hacker News, citava as mesmas siglas e dizia que as falhas seriam divulgadas em 22/10. Já a watchTowr falava em quinta-feira, e o PHP marcou a data para amanhã. Essas divergências ainda não foram esclarecidas.

Segundo os pesquisadores, não há registro de exploração dessas falhas na prática até agora. Ainda assim, como os detalhes podem se espalhar, o PHP avisou que pode antecipar a liberação se surgirem detalhes públicos ou sinais de ataques reais.

O que fazer: a recomendação da própria equipe é ficar pronto para instalar as atualizações assim que estiverem disponíveis, já que os detalhes sobre versões afetadas e correções serão publicados junto com elas. Enquanto isso, siga as orientações oficiais do PHP e mantenha seus sistemas atualizados.