Os programadores da linguagem PHP preparam-se para disponibilizar hoje uma atualização de segurança fora do calendário habitual. O objetivo passa por mitigar duas vulnerabilidades críticas que permitem a execução remota de código, uma situação que motivou a antecipação do lançamento após os detalhes terem chegado à internet de forma prematura.
Segundo a nota oficial da equipa do PHP, a disponibilização do código revisto está agendada para as 15h00 em Portugal Continental (14:00 em formato UTC). A organização classifica a gravidade do problema com uma pontuação de 9,2 na escala CVSS, não tendo partilhado inicialmente detalhes técnicos profundos sobre a mecânica destas falhas. O alerta oficial foi também replicado na plataforma de anúncios da comunidade PHP.
Fuga de informação forçou mudança de planos
A publicação da vulnerabilidade surgiu no seguimento de um rumor partilhado a 20 de outubro no portal Hacker News. Uma publicação indicava que duas falhas com classificação máxima de 10.0 seriam reveladas durante a quinta-feira, afetando todas as versões do software desde a geração 5. Os investigadores da empresa de segurança watchTowr vieram a público confirmar a veracidade do rumor, indicando que a informação se encontrava sob embargo técnico e que os detalhes finais apenas deveriam ser conhecidos mais tarde.
Face a este cenário e ao risco de exploração imediata, os responsáveis pela linguagem anteciparam a janela de atualização para esta quarta-feira. Os dados divulgados na fuga revelaram ainda a atribuição dos identificadores CVE-2026-109618 e CVE-2026-109619, embora a organização não tenha confirmado oficialmente estes códigos na sua comunicação inicial. Um grupo de investigadores começou entretanto a referir-se a este par de falhas sob a designação php2shell.
Versões antigas sem direito a correção
Um dos grandes desafios deste incidente reside na política restrita de suporte. As correções vão abranger unicamente as quatro ramificações ativas do projeto, concretamente as versões 8.2, 8.3, 8.4 e 8.5. Todo o ecossistema assente em versões anteriores (incluindo as gerações 8.1, 8.0 e a antiga série 7) encontra-se em fim de ciclo de vida oficial e não vai receber qualquer tipo de reparação por parte dos criadores.
Uma análise efetuada pela empresa Mallory, com recurso ao motor de busca Shodan, encontrou mais de 880 mil servidores expostos à internet a comunicar uma versão 8.1 ou inferior do interpretador. Perante esta base de sistemas vulneráveis, os especialistas recomendam que os administradores apliquem a atualização o mais rápido possível e isolem da rede pública qualquer aplicação suportada em ramificações abandonadas.
Impacto técnico e mitigação
As vulnerabilidades do tipo execução remota de código figuram entre as mais graves na área da cibersegurança, pois permitem que um agente externo introduza e corra comandos arbitrários no servidor afetado, comprometendo o sistema sem necessidade de credenciais de acesso.
Enquanto a correção definitiva não é aplicada nas máquinas de produção, a recomendação técnica passa por monitorizar o comportamento dos processos relacionados com o servidor web. A equipa de resposta a incidentes aconselha a procura ativa por comportamentos anómalos, como a criação não autorizada de ferramentas de linha de comandos (shells), o aparecimento de ficheiros desconhecidos no diretório público ou a criação de novas tarefas agendadas no sistema operativo.
(TT)