Segurança PHP · Outubro de 2026
Seu PHP está atualizado contra as novas falhas críticas?
As CVE-2026-109618 e CVE-2026-109619 afetam o núcleo do PHP e podem permitir a execução remota de código sem login, a depender da configuração. A Mettric Cloud verifica seus servidores e faz a atualização ou a migração com segurança e sem parar a operação.
O que mudou
Em 21/10/2026, o projeto PHP lançou correções para duas falhas classificadas como críticas: CVSS 9.2 (CVSS 4.0, atribuído pelo PHP) e 9.8 (CVSS 3.1, atribuído pelo NVD para a CVE-2026-109618). Há código de demonstração público. As falhas estão corrigidas nas versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12. O PHP oficial não dá mais suporte ao 8.1 e versões anteriores; alguns fornecedores, como Red Hat e Zend, publicaram pacotes corrigidos. Nesses casos, avaliamos caso a caso o pacote corrigido ou a migração. Ajustes de configuração reduzem a exposição, mas não substituem a correção.
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Como funciona
- 01
Diagnóstico
levantamos as versões do PHP e o modo de execução (PHP-FPM, Apache mod_php, contêiner etc.) em cada ambiente e mostramos o que está exposto.
- 02
Plano
definimos com você se o caso é atualizar dentro da mesma versão ou adotar um pacote corrigido do fornecedor ou migrar para uma versão suportada, testamos a compatibilidade e escolhemos a janela de manutenção.
- 03
Atualização e validação
aplicamos a atualização com possibilidade de rollback, validamos a aplicação e entregamos um relatório do que foi feito.
Para quem é
- Empresas com sistemas, ERPs ou portais internos em PHP (Laravel, Symfony, WordPress, sistemas legados)
- Quem ainda usa PHP 8.1 ou anterior e precisa decidir entre pacote corrigido e migração
- Times de TI sem tempo de testar a atualização em todos os ambientes
- Quem usa hospedagem própria, VPS ou nuvem (AWS, Google Cloud, Azure)
Perguntas frequentes
Como sei se estou afetado?
Nas versões oficiais, as afetadas são as anteriores a 8.2.35, 8.3.36, 8.4.27 e 8.5.12 em cada série. Pacotes de distribuições podem trazer a correção com outro número de versão, por isso o diagnóstico confirma a situação de cada servidor.
Uso PHP 8.1. E agora?
O PHP oficial não dá mais suporte ao 8.1, mas há pacotes corrigidos de fornecedores como Red Hat e Zend. Avaliamos caso a caso se o melhor é o pacote corrigido ou a migração, e testamos a compatibilidade do código.
A atualização tira o sistema do ar?
Ela é planejada para uma janela combinada e tem plano de rollback. Na maioria dos casos, a indisponibilidade é mínima ou nenhuma.
Basta mudar a configuração?
Não. As mitigações temporárias só reduzem a exposição. A correção completa é a atualização.
Quanto custa?
Depende do número de ambientes e da versão atual. Depois do diagnóstico, enviamos uma proposta com o escopo definido.
Minha hospedagem atualiza sozinha?
Algumas plataformas atualizam, mas servidores próprios, VPS e contêineres costumam precisar de ação. Verificamos o seu caso.
Fale com a Mettric
Comece pelo diagnóstico.
Em uma conversa rápida, entendemos o seu ambiente e indicamos o caminho mais seguro.
Referências: GitHub Security Advisories do PHP (GHSA-w8hw-w9fx-j79w, GHSA-6wmf-4rv5-p3rp), NVD, CERT-EU (2026-018), PHP Foundation, Red Hat e Zend.