# Falhas críticas no PHP: como verificar e atualizar seus sites
Falhas críticas no PHP: como verificar e atualizar seus sites
Em 21 de outubro de 2026, a equipe do PHP anunciou correções para duas vulnerabilidades críticas que podiam permitir execução remota de código sem autenticação. Organizações que executam PHP em sites devem confirmar se o runtime que atende as requisições já recebeu a correção.
Resumo: as versões corrigidas anunciadas são PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Confira a recomendação oficial para a série que sua aplicação utiliza e planeje a atualização sem presumir que um ambiente seja compatível com outro.
O que foi corrigido?
O aviso oficial do PHP descreve duas falhas, identificadas como CVE-2026-109618 e CVE-2026-109619. Os caminhos técnicos são diferentes, mas uma requisição especialmente criada poderia afetar processos PHP que atendem sites.
O aviso recomenda atualizar instalações que recebem requisições web. Não há mitigação completa conhecida para essas duas falhas: instalar uma versão corrigida é a única medida segura.
Orientação complementar publicada em 23 de outubro
O PHP publicou ainda uma nota sobre um vetor de execução remota improvável e separado, relacionado a uma combinação incomum de configurações de sessão. Até a próxima versão regular de correção, a equipe recomenda desativar session.upload_progress.enabled para eliminar esse vetor. A nota informa que aplicações que nunca alteram o mecanismo de serialização de sessão durante a execução não precisam desativar esse recurso. Consulte o aviso complementar do PHP e valide o impacto antes de mudar uma configuração de produção. Essa orientação não substitui a atualização que corrige os dois CVEs acima.
Como confirmar se o site está corrigido
- Consulte o inventário do servidor ou painel do provedor para identificar a versão do PHP em execução.
- Confirme a versão usada pelo processo que realmente atende o site; ferramentas de linha de comando podem usar um runtime diferente.
- Compare-a com o aviso oficial e a versão corrigida da mesma série. Em ambientes gerenciados, peça confirmação ao provedor se essa informação não estiver disponível.
Evite publicar páginas de diagnóstico que revelem a configuração do servidor. Se uma verificação temporária for indispensável, restrinja o acesso e remova o recurso assim que terminar.
Planeje a atualização com segurança
Use o canal oficial do fornecedor do sistema operacional, da hospedagem ou da distribuição responsável pelo runtime. Se a equipe administra os binários diretamente, siga os requisitos oficiais de compatibilidade com o servidor web, arquitetura, dependências e extensões.
Antes da atualização, faça backup das configurações necessárias e valide a mudança em um ambiente controlado. Depois, confirme a versão efetivamente servida e verifique os fluxos principais da aplicação, incluindo autenticação, sessões, formulários, uploads, extensões e conexões externas.
Escolha a versão corrigida compatível com a série adotada pela aplicação e confira a política de suporte correspondente. Um salto entre séries pode exigir ajustes e testes adicionais; não é necessário presumir que a versão mais nova seja automaticamente compatível.