Vulnerabilidades críticas no PHP (CVE-2026-109618 e CVE-2026-109619): o que fazer agora

O que aconteceu e o que fazer

O aviso do SANS ISC trata de duas vulnerabilidades críticas no PHP, CVE-2026-109618 e CVE-2026-109619. O PHP.net anunciou que lançaria uma atualização crítica em 21 de outubro de 2026, e o SANS ISC mudou o infoCon para amarelo por causa do uso disseminado da linguagem, da gravidade esperada da falha (CVSS 9.4) e da existência de exploits de prova de conceito preliminares antes da disponibilização do patch.

Para uma empresa, o primeiro passo é levantar em quais sistemas o PHP roda, em quais versões e quais estão expostos à internet, incluindo aplicações legadas e serviços de terceiros. Em seguida, a aplicação do patch deve ser priorizada assim que estiver disponível, com janela de manutenção definida e rollback testado. Enquanto a correção não chega, é possível reduzir a superfície de ataque com regras temporárias em WAF, restrição de acesso a endpoints sensíveis e monitoramento de logs para tentativas de exploração. Um painel com o estado de cada aplicação e de cada versão do PHP ajuda a acompanhar a correção até o fim.

Como a consultoria pode ajudar

A Wendelmaques pode diagnosticar a exposição do seu parque PHP, mapeando versões, serviços expostos e dependências, e propor um plano de correção priorizado. Na implementação, montamos inventário automatizado, regras de mitigação temporária e monitoramento de tentativas de exploração, com operação contínua na sua própria infraestrutura.

Próximo passo

Se a sua empresa usa PHP em sistemas internos ou em produtos de clientes, envie uma descrição curta do seu cenário e receba uma proposta de escopo.