"Isto não é um exercício": Vulnerabilidades críticas do PHP estão incendiando a Internet
wired ·
A Fundação PHP divulgou duas vulnerabilidades críticas, CVE-2026-109618 e CVE-2026-109619, que afetam todas as instalações do PHP que atendem a solicitações web desde a versão 5. Essas falhas permitem que atacantes não autenticados executem código ou leiam memória sensível contendo senhas e chaves de API nos servidores afetados. Especialistas em segurança alertam que o uso generalizado do PHP em infraestrutura essencial, como WordPress e Magento, torna esses bugs particularmente perigosos. Ataques iniciais já foram detectados pela Cloudflare antes do lançamento oficial do patch, gerando temores de uma propagação rápida de malware com capacidade de worm. Consequentemente, vários sites governamentais na Finlândia, França e Holanda saíram do ar como medida preventiva. O NCSC do Reino Unido e outras agências instaram as organizações a aplicar atualizações imediatamente ou desconectar os sistemas se os patches ainda não estiverem disponíveis. Pesquisadores da Wiz, OpenAI e Calif contribuíram para identificar esses problemas, com algumas descobertas auxiliadas por ferramentas de IA. As autoridades enfatizam que a atualização é a única mitigação segura, pois não existe solução alternativa completa para o cenário de ameaças atual.
wired