Falhas críticas no PHP permitem execução remota de código: atualização urgente de servidores web

O projeto PHP disponibilizou, em 21 de outubro de 2026, atualizações de segurança urgentes para corrigir duas vulnerabilidades críticas que podem permitir a execução remota de código em servidores web, sem necessidade de autenticação prévia.

As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, afetam componentes internos da linguagem PHP e podem comprometer aplicações e serviços expostos à Internet.

(ACTUALIZAÇÃO — 25 de outubro de 2026 abaixo)

Terceira vulnerabilidade identificada pelo CERT-EU

O fabricante recomenda a atualização imediata para versões corrigidas, alertando que não existem medidas alternativas capazes de eliminar completamente o risco.

FACTO DOCUMENTADO

A equipa de segurança do PHP confirmou duas vulnerabilidades críticas, com classificação CVSS 4.0 de 9,2/10.

Ambas podem permitir execução remota de código sem autenticação.

As versões corrigidas são PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12.

O projeto PHP considera a atualização a única medida capaz de corrigir integralmente as vulnerabilidades.

Duas falhas críticas na gestão interna de memória

A primeira vulnerabilidade, CVE-2026-109618, está relacionada com a gestão de situações de esgotamento de memória.

Em determinadas circunstâncias, o processamento de um pedido pode ser interrompido quando estruturas internas ainda não estão completamente inicializadas. A limpeza posterior dessas estruturas pode provocar corrupção de memória.

A segunda vulnerabilidade, CVE-2026-109619, envolve a reutilização de informação interna após a libertação da memória que lhe estava associada.

Um pedido posterior, processado pelo mesmo trabalhador PHP, poderá utilizar esse estado inválido antes de a inicialização normal o substituir.

As duas situações podem criar condições para execução de código não autorizado, dependendo da configuração e das circunstâncias de exploração.

A possibilidade de exploração remota sem autenticação torna particularmente importante a proteção de servidores que processam pedidos provenientes da Internet.

Versões corrigidas disponibilizadas

O projeto PHP disponibilizou as seguintes versões de segurança:

As instalações que utilizam versões anteriores dentro destes ramos devem ser verificadas e atualizadas.

Os administradores de sistemas Linux devem consultar os repositórios e avisos dos respetivos fornecedores, uma vez que determinadas distribuições disponibilizam correções retroportadas sem alterar necessariamente o número principal da versão.

O PHP 8.1 e os ramos anteriores já não recebem atualizações de segurança diretamente do projeto PHP. As organizações que ainda utilizam essas versões devem verificar a existência de suporte específico do fornecedor ou planear a migração.

Relatos de exploração ativa aumentam a urgência

Um aviso do Centro Nacional de Cibersegurança da Nova Zelândia, atualizado em 22 de outubro, refere relatos de exploração ativa das vulnerabilidades.

Esta informação aumenta a urgência da aplicação das correções.

Contudo, a existência de relatos de exploração não permite concluir que todos os servidores vulneráveis tenham sido comprometidos.

Também não demonstra, por si só, uma campanha especificamente dirigida a organizações portuguesas.

A avaliação do risco concreto exige verificar a versão instalada, a configuração dos serviços, a exposição à Internet e os registos de atividade.

Medidas recomendadas aos administradores

As organizações que utilizem PHP em servidores web devem adotar as seguintes medidas:

1. Inventariar as instalações PHP, incluindo servidores de produção, ambientes de teste e serviços geridos por terceiros.
2. Confirmar as versões efetivamente utilizadas, incluindo instalações alternativas e diferentes trabalhadores PHP.
3. Aplicar as atualizações de segurança disponibilizadas pelo projeto PHP ou pelo fornecedor da distribuição.
4. Reiniciar os serviços afetados, quando necessário, para garantir que os processos passam a utilizar as bibliotecas corrigidas.
5. Analisar registos e indicadores de comprometimento, sobretudo nos sistemas que estiveram expostos à Internet antes da atualização.
6. Verificar os fornecedores de alojamento e aplicações, solicitando confirmação da aplicação das correções quando a administração do servidor é externa.

A utilização de firewalls de aplicações web, filtragem de pedidos ou outras medidas de proteção pode contribuir para reduzir a exposição, mas não substitui a atualização.

Caso existam indícios de comprometimento, a organização deverá ativar os seus procedimentos de resposta a incidentes e preservar os elementos necessários à investigação.

Implicações para Portugal

O PHP é utilizado em numerosas aplicações web, plataformas de gestão de conteúdos, portais empresariais e serviços digitais.

A exploração das vulnerabilidades pode permitir comprometer servidores, afetar a disponibilidade de aplicações e criar oportunidades para acesso indevido a informação.

O impacto potencial não está limitado a um setor económico específico.

Organizações portuguesas que utilizem versões vulneráveis devem tratar a atualização como uma prioridade de segurança.

Não foi confirmada, nas fontes analisadas, uma campanha generalizada de exploração especificamente dirigida a Portugal.

AVALIAÇÃO ANALÍTICA

A combinação de vulnerabilidades críticas, possibilidade de execução remota de código sem autenticação e relatos de exploração ativa constitui um cenário de risco operacional elevado para sistemas vulneráveis.

A prioridade deve ser a aplicação das correções oficiais, seguida da verificação de possíveis sinais de comprometimento.

A gravidade técnica das vulnerabilidades não equivale automaticamente à confirmação de uma perturbação generalizada dos serviços digitais nacionais.

Indicadores sob vigilância

O PREPPERS.PT continuará a acompanhar a publicação de novos avisos oficiais, a divulgação de indicadores de comprometimento, a evolução dos relatos de exploração e eventuais incidentes confirmados em serviços essenciais portugueses.

INCERTEZA / LIMITAÇÃO

A exploração depende das condições técnicas de cada instalação.

Não está demonstrado que todas as aplicações PHP estejam igualmente expostas.

Os relatos de exploração ativa não permitem determinar a dimensão global dos comprometimentos.

A ausência de confirmação de incidentes em Portugal não elimina a necessidade de aplicar as correções.

ACTUALIZAÇÃO — 25 de outubro de 2026

Terceira vulnerabilidade identificada pelo CERT-EU

O CERT-EU actualizou, em 23 de outubro de 2026, às 14h36 UTC, o seu aviso de segurança 2026-018, acrescentando uma terceira vulnerabilidade relacionada com o PHP.

A nova falha, identificada como CVE-2026-115560, pode permitir execução remota de código, mas depende de uma combinação pouco habitual de configurações e comportamento da aplicação.

Segundo a equipa de desenvolvimento do PHP, o problema exige que o mecanismo de serialização de sessões esteja configurado como php_binary ou php_serialize, seja posteriormente alterado pela aplicação para php antes da inicialização da sessão e permaneça activa a funcionalidade de acompanhamento do progresso de carregamento de ficheiros.

A equipa PHP considera este cenário pouco provável e prevê corrigir a vulnerabilidade no ciclo regular de actualizações.

As versões disponibilizadas em 21 de outubro corrigem as duas vulnerabilidades iniciais, mas não constituem uma correção para a CVE-2026-115560.

FACTO DOCUMENTADO

O PHP divulgou a CVE-2026-115560 em 23 de outubro de 2026.

A vulnerabilidade depende de uma configuração pouco habitual das sessões PHP.

O fabricante recomenda desactivar temporariamente session.upload_progress.enabled até à próxima versão regular corrigida.

As actualizações PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12 continuam a ser necessárias para corrigir as vulnerabilidades CVE-2026-109618 e CVE-2026-109619.

Recomendações técnicas adicionais

Os administradores devem confirmar que instalaram as actualizações de segurança correspondentes ao ramo PHP utilizado.

Para mitigar a terceira vulnerabilidade, o projecto PHP recomenda configurar:

session.upload_progress.enabled = 0

A alteração deve ser aplicada na configuração efectiva do serviço PHP e acompanhada do reinício dos processos afectados, quando necessário.

Os administradores devem verificar se a aplicação utiliza a funcionalidade antes de a desactivar, uma vez que a alteração poderá afectar funcionalidades que dependam do acompanhamento do progresso de carregamento de ficheiros.

Esta mitigação não substitui as actualizações de segurança destinadas às duas vulnerabilidades anteriores.

Resposta preventiva em Portugal

Segundo informações divulgadas em 23 de outubro e atribuídas ao Centro Nacional de Cibersegurança (CNCS), foram desencadeadas medidas preventivas, incluindo a difusão de recomendações e a identificação de sistemas potencialmente vulneráveis.

Foi igualmente noticiada a realização de actualizações nos próprios serviços do CNCS, com indisponibilidades temporárias associadas aos trabalhos técnicos.

Estas informações representam uma resposta preventiva das autoridades nacionais, não a confirmação de uma campanha de exploração bem-sucedida em Portugal.

A posição nacional deverá continuar a ser acompanhada através das comunicações oficiais do CNCS e do CERT.PT.

AVALIAÇÃO ANALÍTICA

A identificação de uma terceira vulnerabilidade reforça a necessidade de acompanhar os avisos do fabricante mesmo após a instalação das primeiras correcções.

A CVE-2026-115560 apresenta condições de exploração mais restritas do que as vulnerabilidades inicialmente divulgadas, mas continua a justificar medidas de mitigação nos sistemas expostos.

A prioridade operacional permanece na actualização dos servidores vulneráveis e na verificação das configurações de sessões PHP.

INCERTEZA / LIMITAÇÃO

A existência de demonstrações técnicas de exploração não demonstra, por si só, ataques generalizados.

Não foi confirmada, nas fontes oficiais verificadas para esta actualização, uma campanha de exploração da CVE-2026-115560 contra entidades portuguesas.

As informações sobre a resposta específica do CNCS foram anteriormente divulgadas através de declarações à imprensa; não foi possível confirmar nesta verificação um comunicado oficial com todos esses detalhes.

AVALIAÇÃO PREPPERS.PT — ACTUALIZAÇÃO

Área: Cibersegurança

Estado: Três vulnerabilidades identificadas; duas com correcções disponíveis e uma com mitigação temporária recomendada.

Prioridade operacional: Muito Alta para instalações vulneráveis.

Nível de Risco — Cibersegurança: manter classificação em vigor.

Risco Actual nacional: 2/5 — MODERADO, sem alteração.

FONTES DA ACTUALIZAÇÃO

PHP — Aviso oficial sobre o progresso de carregamento de sessões, 23/10/2026

CERT-EU — Critical Vulnerabilities in PHP, Security Advisory 2026-018, actualizado em 23/10/2026

Red Hat — Boletim técnico PHP2Shell, actualizado em 23/10/2026

Centro Nacional de Cibersegurança — Portal oficial

AVALIAÇÃO PREPPERS.PT

As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 representam uma ameaça técnica relevante para organizações que utilizam PHP em servidores web.

A possibilidade de execução remota de código sem autenticação e a existência de relatos de exploração justificam uma resposta urgente dos administradores.

A atualização imediata constitui a principal medida de proteção.

Nível de Risco — Cibersegurança: manter classificação em vigor

Tendência: Ameaça técnica agravada, com necessidade de intervenção imediata nos sistemas afetados.

Risco Actual nacional: 2/5 · MODERADO — sem alteração recomendada.

FONTES

PHP — Aviso oficial de segurança e versões corrigidas, 21 de outubro de 2026

PHP — Histórico oficial das alterações e correções de segurança

PHP — Downloads oficiais

NCSC Nova Zelândia — Aviso sobre CVE-2026-109618 e CVE-2026-109619

PREPPERS.PT — Metodologia de Risco