CVE-2026-109619: execução remota de código no PHP e a faixa de versões afetadas

O que aconteceu e o que fazer

O aviso, publicado em 21 de outubro de 2026 e repercutido na lista oss-sec, descreve uma execução remota de código (RCE) causada por estado global obsoleto. Segundo o texto citado, as versões afetadas são o PHP 8.2 anterior a 8.2.35, o PHP 8.3 anterior a 8.3.36, o PHP 8.4 anterior a 8.4.27 e o PHP 8.5 anterior a 8.5.12. Uma resposta de Christian Fischer, de 21 de outubro, alerta que o título e o corpo podem sugerir que apenas as versões 8.2 a 8.5 são afetadas, o que pode levar a uma leitura incorreta sobre versões anteriores.

Na prática, a empresa deve primeiro inventariar todos os servidores, contêineres e imagens com PHP, incluindo runtimes embarcados em aplicações legadas, e registrar a versão exata de cada um. Depois, deve planejar a atualização para as versões corrigidas e, enquanto isso, tratar como potencialmente exposto tudo que estiver fora da faixa confirmada pelo fabricante. Um pipeline de coleta periódica de versões, com alertas quando um host ficar abaixo do patch mínimo e um painel de conformidade por ambiente, transforma essa verificação pontual em monitoramento contínuo.

Como a consultoria pode ajudar

Diagnóstico da exposição a PHP vulnerável: levantamento de versões em servidores, contêineres e aplicações, classificação por criticidade e plano de atualização. Em seguida, implantação de coleta e monitoramento de versões com alertas e painel, na infraestrutura do cliente.

Próximo passo

Se a sua empresa roda PHP em produção, envie uma breve descrição do seu ambiente e do seu caso. Respondemos com uma proposta escopada de diagnóstico e implementação.