CISA inclui duas vulnerabilidades do PHP no catálogo KEV e pede correção prioritária

O que aconteceu e o que fazer

O alerta da CISA informa que duas novas vulnerabilidades do PHP foram incluídas no catálogo Known Exploited Vulnerabilities (KEV): CVE-2026-109618, uma corrupção de memória, e CVE-2026-109619, um problema de estado interno obsoleto de requisição. A agência considera que esse tipo de falha é vetor frequente de agentes maliciosos e pede aplicação imediata das correções. A Binding Operational Directive 26-04 determina, para agências federais civis, a correção rápida de falhas do KEV em ativos expostos publicamente, além de verificações de comprometimento antes da correção. A CISA recomenda que todas as organizações adotem gestão de vulnerabilidades baseada em risco.

Na prática, uma empresa precisa responder em três frentes. Primeiro, inventariar todas as instâncias de PHP, incluindo versões em servidores, contêineres e aplicações legadas, e cruzar com os CVEs do alerta. Segundo, priorizar a correção dos ativos acessíveis pela internet, onde a exploração tem maior impacto. Terceiro, antes de aplicar a atualização, buscar sinais de comprometimento nos logs desses ativos. Um pipeline de coleta de inventário e monitoramento de versões, com alertas ligados ao catálogo KEV, permite repetir esse processo a cada nova inclusão, em vez de depender de verificações manuais.

Como a consultoria pode ajudar

A Wendelmaques pode diagnosticar a exposição do seu parque PHP a essas duas falhas, mapeando versões e ativos públicos. Em seguida, projeta e implanta um fluxo de inventário e alertas ligado ao catálogo KEV, com priorização por risco e verificação de comprometimento antes da correção.

Próximo passo

Se sua empresa usa PHP em sistemas expostos, envie uma descrição breve do seu ambiente, como quantidade de aplicações, versões em uso e forma de publicação. Com isso, recebe uma proposta de escopo para diagnóstico e implementação.