Duas falhas no PHP permitem controle remoto de servidores sem senha 21/10/2026: Desenvolvedores do PHP divulgaram nesta quarta-feira duas vulnerabilidades com gravidade 9,2 numa escala de 10. Os problemas afetam todas as versões a partir do PHP 5.4 e estão ligados à gestão de memória no processamento de requisições HTTP. Segundo o comunicado oficial, não há solução definitiva além de atualizar os servidores imediatamente.
As falhas permitem interrupção de serviços, vazamento de dados e execução remota de código malicioso.
Cloudflare ativou proteção automática nove horas antes da divulgação
A empresa identificou as vulnerabilidades de forma independente e as rastreou como CVE-2026-109618 e CVE-2026-109619, também conhecidas como php2shell. O firewall de aplicações web (WAF) da Cloudflare foi ativado automaticamente para usuários do plano gratuito que têm o recurso habilitado. A proteção não dispensa a atualização dos servidores, reforçam os desenvolvedores.
PHP roda em cerca de 70% dos sites, segundo a Cloudflare A tecnologia sustenta plataformas como o WordPress, lojas virtuais, portais de notícias e sistemas governamentais. Serviços da Anatel saíram do ar temporariamente hoje por causa das falhas. As vulnerabilidades foram descobertas meses antes, pela Calif e pela OpenAI, criadora do ChatGPT.
Antes do anúncio oficial, informações vazaram e levaram alguns administradores a tirar sites do ar preventivamente para aplicar as correções. Fonte: Tecnoblog
