CVE-2026-109618CRÍTICA · 9.2
Corrupção ao esgotar a memória
A falha no tratamento de falta de memória (OOM) pode deixar dados internos inválidos e permitir execução remota de código.
Ler comunicado técnico ALERTA DE SEGURANÇAPHP · 21 OUT 2026 CVSS 4.0 9.2 / 10
PHP2SHELL
Seu PHP pode abrir
uma porta para ataques.
Duas novas falhas críticas podem permitir a execução remota de código sem autenticação. Confira se a versão exposta pelo seu site precisa de atualização.
Sem cadastro. Checagem de versão sem exploração da falha.
VERIFICADOR PHP ISA / 01
Seu site está exposto?
Informe uma URL pública da sua aplicação PHP para começar.
Lemos os cabeçalhos e uma amostra limitada do HTML da mesma URL. Sem uma versão identificável, a avaliação das CVEs é inconclusiva.
Verificação das duas CVEs na mesma consulta
01
IdentificarBuscar sinais de PHP e versão exposta
02
CompararConferir as versões corrigidas
03
OrientarMostrar o resultado e a ação recomendada
ENTENDA O ALERTA
DIVULGADAS EM 21/10/2026Duas falhas. Atualização urgente.
CVE-2026-109619CRÍTICA · 9.2
Reutilização de memória liberada
Estado interno pode persistir entre requisições após a liberação da memória. O acesso a esse estado pode permitir execução remota de código.
Ler comunicado técnicoO alerta oficial abrange instalações PHP que atendem requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. A explorabilidade depende da configuração e do fluxo da aplicação.
O QUE FAZER AGORAAtualize o PHP.
Atualize o PHP.
Reinicie os processos.
Instale a correção da sua série e reinicie todos os workers PHP. Confirme a versão usada pela aplicação web em cada servidor, pool e contêiner.
Usa hospedagem gerenciada?
Consultar orientação oficial do PHP ↗Peça ao provedor a confirmação da atualização. Pacotes de distribuições podem receber correções por backport sem alterar a versão base.
VERSÕES COM CORREÇÃO AMBAS AS CVEs
| Série PHP | Atualize para |
|---|---|
| 8.2.x | ↗ 8.2.35 ou superior na série |
| 8.3.x | ↗ 8.3.36 ou superior na série |
| 8.4.x | ↗ 8.4.27 ou superior na série |
| 8.5.x | ↗ 8.5.12 ou superior na série |
PHP 8.1 ou anterior: migre para uma série suportada ou confirme o backport com seu fornecedor.
SOBRE A VERIFICAÇÃO
O que o resultado significa?
A checagem confirma a exploração das falhas?
Não. Esta página busca indícios de PHP em cabeçalhos, nomes de cookies e uma amostra limitada do HTML. Para avaliar as CVEs, compara somente a versão declarada nos cabeçalhos HTTP com as versões corrigidas dos dois comunicados oficiais. Uma versão anterior indica possível exposição, mas não comprova execução de código. Backports, proxies e configurações podem alterar a conclusão.
Por que o resultado pode ser inconclusivo?
CDNs, WAFs e servidores podem ocultar a tecnologia ou a versão. Redirecionamentos e respostas de erro também impedem a conclusão. Informe a URL final de uma rota PHP pública e confirme o pacote instalado com seu provedor. Não encontrar PHP não significa que o site está protegido.
A verificação pode derrubar meu site?
Enviamos uma única requisição GET comum para ler os cabeçalhos e até 64 KB do HTML. Os valores dos cookies e o conteúdo bruto do HTML não são incluídos no resultado nem no registro por e-mail. Não enviamos cargas para esgotar memória ou explorar as falhas. O resultado cobre somente a URL consultada.
Um firewall ou WAF resolve o problema?
O projeto PHP recomenda atualizar. Controles adicionais podem reduzir a exposição, mas não substituem a instalação das correções para as duas vulnerabilidades.
O que é registrado na consulta?
O domínio, a URL sem os parâmetros de consulta, o IP do solicitante, o horário e o resultado técnico são enviados por e-mail às equipes técnica e comercial da Intelliway, para auditoria e acompanhamento, junto aos indícios de tecnologia identificados. Não solicitamos dados de contato. Consultas bloqueadas não geram e-mail. Evite informar URLs com tokens, senhas ou outros dados sensíveis.
SEGURANÇA ALÉM DESTE ALERTA
Experimente grátis Conheça sua superfície de ataque.
Descubra ativos, priorize achados com IA e acompanhe a segurança das suas aplicações com a ISA Horizon.