Hoje, 21 de outubro, foram reveladas duas falhas de segurança críticas no PHP, linguagem usada em grande parte dos sites e sistemas web do mundo. Elas receberam os identificadores CVE-2026-109618 e CVE-2026-109619 e também são chamadas pelo apelido php2shell. Ambas têm nota 9.2 na escala CVSS 4.0, classificada como CRITICAL, o nível mais alto de gravidade.

O problema permite a execução remota de código sem autenticação, ou seja, um invasor com acesso de rede à aplicação consegue rodar comandos no servidor sem precisar de senha, usando as permissões do próprio aplicativo. Na prática, é como deixar a chave da casa com alguém que nem precisava entrar para abrir a porta. A fonte afirma que qualquer aplicação PHP pode ser afetada.

A divulgação estava marcada para 22 de outubro às 14h UTC, mas, por causa de um vazamento público, foi antecipada para 21 de outubro às 14h UTC. Por isso, a correria para atualizar começou antes do previsto.

O Ubuntu já publicou correções para todas as versões suportadas, incluindo 14.04, 16.04, 18.04, 20.04, 22.04, 24.04, 26.04 e 26.10, com números de pacote específicos para cada uma, como php8.3 na 24.04 e php8.1 na 22.04. A recomendação é atualizar todos os pacotes com os comandos de atualização do sistema. Se isso não for possível, dá para atualizar só os pacotes do PHP. Depois, é preciso reiniciar a aplicação que usa o PHP, como o Apache, ou reiniciar o sistema inteiro.

As versões 22.04, 24.04, 26.04 e 26.10 recebem as correções pelo suporte padrão. Já as versões 20.04 e anteriores dependem do serviço ESM, disponível com a assinatura Ubuntu Pro, que é gratuita para até 5 máquinas. Para quem administra sistemas com PHP, o recado é claro: verificar a versão instalada e atualizar sem demora.