> ## Content Index > Fetch the complete content index at: https://preppers.pt/llms.txt > Use this file to discover other available public pages before exploring further. # Falhas críticas no PHP permitem execução remota de código: atualização urgente de servidores web - URL: https://preppers.pt/falhas-criticas-php-execucao-remota-codigo-outubro-2026/ - Published: 2026-10-23T11:30:24.000Z - Updated: 2026-10-25T17:44:10.000Z - Description: Duas vulnerabilidades críticas no PHP podem permitir execução remota de código sem autenticação. Versões corrigidas disponíveis e relatos de exploração ativa. - Author: preppers.pt - Tags: Alerta, Cibersegurança O projeto PHP disponibilizou, em **21 de outubro de 2026**, atualizações de segurança urgentes para corrigir duas vulnerabilidades críticas que podem permitir a execução remota de código em servidores web, sem necessidade de autenticação prévia. As falhas, identificadas como **CVE-2026-109618** e **CVE-2026-109619**, afetam componentes internos da linguagem PHP e podem comprometer aplicações e serviços expostos à Internet. (ACTUALIZAÇÃO — 25 de outubro de 2026 abaixo) ### Terceira vulnerabilidade identificada pelo CERT-EU O fabricante recomenda a atualização imediata para versões corrigidas, alertando que não existem medidas alternativas capazes de eliminar completamente o risco. > **FACTO DOCUMENTADO** > > A equipa de segurança do PHP confirmou duas vulnerabilidades críticas, com classificação CVSS 4.0 de 9,2/10. > > Ambas podem permitir execução remota de código sem autenticação. > > As versões corrigidas são **PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12**. > > O projeto PHP considera a atualização a única medida capaz de corrigir integralmente as vulnerabilidades. ## Duas falhas críticas na gestão interna de memória A primeira vulnerabilidade, **CVE-2026-109618**, está relacionada com a gestão de situações de esgotamento de memória. Em determinadas circunstâncias, o processamento de um pedido pode ser interrompido quando estruturas internas ainda não estão completamente inicializadas. A limpeza posterior dessas estruturas pode provocar corrupção de memória. A segunda vulnerabilidade, **CVE-2026-109619**, envolve a reutilização de informação interna após a libertação da memória que lhe estava associada. Um pedido posterior, processado pelo mesmo trabalhador PHP, poderá utilizar esse estado inválido antes de a inicialização normal o substituir. As duas situações podem criar condições para execução de código não autorizado, dependendo da configuração e das circunstâncias de exploração. A possibilidade de exploração remota sem autenticação torna particularmente importante a proteção de servidores que processam pedidos provenientes da Internet. ## Versões corrigidas disponibilizadas O projeto PHP disponibilizou as seguintes versões de segurança: | Ramo PHP | Versão corrigida | | -------- | ---------------- | | PHP 8.2 | 8.2.35 | | PHP 8.3 | 8.3.36 | | PHP 8.4 | 8.4.27 | | PHP 8.5 | 8.5.12 | As instalações que utilizam versões anteriores dentro destes ramos devem ser verificadas e atualizadas. Os administradores de sistemas Linux devem consultar os repositórios e avisos dos respetivos fornecedores, uma vez que determinadas distribuições disponibilizam correções retroportadas sem alterar necessariamente o número principal da versão. O PHP 8.1 e os ramos anteriores já não recebem atualizações de segurança diretamente do projeto PHP. As organizações que ainda utilizam essas versões devem verificar a existência de suporte específico do fornecedor ou planear a migração. ## Relatos de exploração ativa aumentam a urgência Um aviso do Centro Nacional de Cibersegurança da Nova Zelândia, atualizado em 22 de outubro, refere relatos de exploração ativa das vulnerabilidades. Esta informação aumenta a urgência da aplicação das correções. Contudo, a existência de relatos de exploração não permite concluir que todos os servidores vulneráveis tenham sido comprometidos. Também não demonstra, por si só, uma campanha especificamente dirigida a organizações portuguesas. A avaliação do risco concreto exige verificar a versão instalada, a configuração dos serviços, a exposição à Internet e os registos de atividade. ## Medidas recomendadas aos administradores As organizações que utilizem PHP em servidores web devem adotar as seguintes medidas: 1. **Inventariar as instalações PHP**, incluindo servidores de produção, ambientes de teste e serviços geridos por terceiros. 2. **Confirmar as versões efetivamente utilizadas**, incluindo instalações alternativas e diferentes trabalhadores PHP. 3. **Aplicar as atualizações de segurança** disponibilizadas pelo projeto PHP ou pelo fornecedor da distribuição. 4. **Reiniciar os serviços afetados**, quando necessário, para garantir que os processos passam a utilizar as bibliotecas corrigidas. 5. **Analisar registos e indicadores de comprometimento**, sobretudo nos sistemas que estiveram expostos à Internet antes da atualização. 6. **Verificar os fornecedores de alojamento e aplicações**, solicitando confirmação da aplicação das correções quando a administração do servidor é externa. A utilização de firewalls de aplicações web, filtragem de pedidos ou outras medidas de proteção pode contribuir para reduzir a exposição, mas não substitui a atualização. Caso existam indícios de comprometimento, a organização deverá ativar os seus procedimentos de resposta a incidentes e preservar os elementos necessários à investigação. ## Implicações para Portugal O PHP é utilizado em numerosas aplicações web, plataformas de gestão de conteúdos, portais empresariais e serviços digitais. A exploração das vulnerabilidades pode permitir comprometer servidores, afetar a disponibilidade de aplicações e criar oportunidades para acesso indevido a informação. O impacto potencial não está limitado a um setor económico específico. Organizações portuguesas que utilizem versões vulneráveis devem tratar a atualização como uma prioridade de segurança. **Não foi confirmada, nas fontes analisadas, uma campanha generalizada de exploração especificamente dirigida a Portugal.** > **AVALIAÇÃO ANALÍTICA** > > A combinação de vulnerabilidades críticas, possibilidade de execução remota de código sem autenticação e relatos de exploração ativa constitui um cenário de risco operacional elevado para sistemas vulneráveis. > > A prioridade deve ser a aplicação das correções oficiais, seguida da verificação de possíveis sinais de comprometimento. > > A gravidade técnica das vulnerabilidades não equivale automaticamente à confirmação de uma perturbação generalizada dos serviços digitais nacionais. ## Indicadores sob vigilância O PREPPERS.PT continuará a acompanhar a publicação de novos avisos oficiais, a divulgação de indicadores de comprometimento, a evolução dos relatos de exploração e eventuais incidentes confirmados em serviços essenciais portugueses. > **INCERTEZA / LIMITAÇÃO** > > A exploração depende das condições técnicas de cada instalação. > > Não está demonstrado que todas as aplicações PHP estejam igualmente expostas. > > Os relatos de exploração ativa não permitem determinar a dimensão global dos comprometimentos. > > A ausência de confirmação de incidentes em Portugal não elimina a necessidade de aplicar as correções. --- ## ACTUALIZAÇÃO — 25 de outubro de 2026 ### Terceira vulnerabilidade identificada pelo CERT-EU O CERT-EU actualizou, em **23 de outubro de 2026, às 14h36 UTC**, o seu aviso de segurança 2026-018, acrescentando uma terceira vulnerabilidade relacionada com o PHP. A nova falha, identificada como **CVE-2026-115560**, pode permitir execução remota de código, mas depende de uma combinação pouco habitual de configurações e comportamento da aplicação. Segundo a equipa de desenvolvimento do PHP, o problema exige que o mecanismo de serialização de sessões esteja configurado como `php_binary` ou `php_serialize`, seja posteriormente alterado pela aplicação para `php` antes da inicialização da sessão e permaneça activa a funcionalidade de acompanhamento do progresso de carregamento de ficheiros. A equipa PHP considera este cenário pouco provável e prevê corrigir a vulnerabilidade no ciclo regular de actualizações. **As versões disponibilizadas em 21 de outubro corrigem as duas vulnerabilidades iniciais, mas não constituem uma correção para a CVE-2026-115560.** > **FACTO DOCUMENTADO** > > O PHP divulgou a CVE-2026-115560 em 23 de outubro de 2026. > > A vulnerabilidade depende de uma configuração pouco habitual das sessões PHP. > > O fabricante recomenda desactivar temporariamente `session.upload_progress.enabled` até à próxima versão regular corrigida. > > As actualizações PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12 continuam a ser necessárias para corrigir as vulnerabilidades CVE-2026-109618 e CVE-2026-109619. ### Recomendações técnicas adicionais Os administradores devem confirmar que instalaram as actualizações de segurança correspondentes ao ramo PHP utilizado. Para mitigar a terceira vulnerabilidade, o projecto PHP recomenda configurar: `session.upload_progress.enabled = 0` A alteração deve ser aplicada na configuração efectiva do serviço PHP e acompanhada do reinício dos processos afectados, quando necessário. Os administradores devem verificar se a aplicação utiliza a funcionalidade antes de a desactivar, uma vez que a alteração poderá afectar funcionalidades que dependam do acompanhamento do progresso de carregamento de ficheiros. Esta mitigação não substitui as actualizações de segurança destinadas às duas vulnerabilidades anteriores. ### Resposta preventiva em Portugal Segundo informações divulgadas em 23 de outubro e atribuídas ao **Centro Nacional de Cibersegurança (CNCS)**, foram desencadeadas medidas preventivas, incluindo a difusão de recomendações e a identificação de sistemas potencialmente vulneráveis. Foi igualmente noticiada a realização de actualizações nos próprios serviços do CNCS, com indisponibilidades temporárias associadas aos trabalhos técnicos. Estas informações representam uma resposta preventiva das autoridades nacionais, não a confirmação de uma campanha de exploração bem-sucedida em Portugal. A posição nacional deverá continuar a ser acompanhada através das comunicações oficiais do CNCS e do CERT.PT. > **AVALIAÇÃO ANALÍTICA** > > A identificação de uma terceira vulnerabilidade reforça a necessidade de acompanhar os avisos do fabricante mesmo após a instalação das primeiras correcções. > > A CVE-2026-115560 apresenta condições de exploração mais restritas do que as vulnerabilidades inicialmente divulgadas, mas continua a justificar medidas de mitigação nos sistemas expostos. > > A prioridade operacional permanece na actualização dos servidores vulneráveis e na verificação das configurações de sessões PHP. > **INCERTEZA / LIMITAÇÃO** > > A existência de demonstrações técnicas de exploração não demonstra, por si só, ataques generalizados. > > Não foi confirmada, nas fontes oficiais verificadas para esta actualização, uma campanha de exploração da CVE-2026-115560 contra entidades portuguesas. > > As informações sobre a resposta específica do CNCS foram anteriormente divulgadas através de declarações à imprensa; não foi possível confirmar nesta verificação um comunicado oficial com todos esses detalhes. ## AVALIAÇÃO PREPPERS.PT — ACTUALIZAÇÃO **Área:** Cibersegurança **Estado:** Três vulnerabilidades identificadas; duas com correcções disponíveis e uma com mitigação temporária recomendada. **Prioridade operacional:** Muito Alta para instalações vulneráveis. **Nível de Risco — Cibersegurança:** manter classificação em vigor. **Risco Actual nacional: 2/5 — MODERADO, sem alteração.** ## FONTES DA ACTUALIZAÇÃO [PHP — Aviso oficial sobre o progresso de carregamento de sessões, 23/10/2026](https://www.php.net/archive/2026.php?ref=preppers.pt#2026-10-23-1) [CERT-EU — Critical Vulnerabilities in PHP, Security Advisory 2026-018, actualizado em 23/10/2026](https://www.cert.europa.eu/publications/security-advisories/2026-018?ref=preppers.pt) [Red Hat — Boletim técnico PHP2Shell, actualizado em 23/10/2026](https://access.redhat.com/security/vulnerabilities/RHSB-2026-013?ref=preppers.pt) [Centro Nacional de Cibersegurança — Portal oficial](https://www.cncs.gov.pt/?ref=preppers.pt) --- ## AVALIAÇÃO PREPPERS.PT As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 representam uma ameaça técnica relevante para organizações que utilizam PHP em servidores web. A possibilidade de execução remota de código sem autenticação e a existência de relatos de exploração justificam uma resposta urgente dos administradores. **A atualização imediata constitui a principal medida de proteção.** **Nível de Risco — Cibersegurança: manter classificação em vigor** **Tendência:** Ameaça técnica agravada, com necessidade de intervenção imediata nos sistemas afetados. **Risco Actual nacional: 2/5 · MODERADO — sem alteração recomendada.** --- ## FONTES [PHP — Aviso oficial de segurança e versões corrigidas, 21 de outubro de 2026](https://www.php.net/archive/2026.php?ref=preppers.pt#2026-10-21-5) [PHP — Histórico oficial das alterações e correções de segurança](https://www.php.net/ChangeLog-8.php?ref=preppers.pt) [PHP — Downloads oficiais](https://www.php.net/downloads.php?ref=preppers.pt) [NCSC Nova Zelândia — Aviso sobre CVE-2026-109618 e CVE-2026-109619](https://www.ncsc.govt.nz/alerts/cve-2026-109618-and-cve-2026-109619-affecting-php/?ref=preppers.pt) [PREPPERS.PT — Metodologia de Risco](https://preppers.pt/metodologia-de-risco/)