Os administradores de sistemas PHP estão a ser aconselhados a preparar-se para aplicar actualizações de segurança urgentes, depois de terem surgido informações sobre duas vulnerabilidades críticas antes da divulgação inicialmente planeada. A equipa de desenvolvimento do PHP atribuiu a ambas uma classificação CVSS de 9.2 e prevê disponibilizar as correções durante o dia de hoje. O PHP é amplamente utilizado em sites, sistemas de gestão de conteúdos, lojas online e aplicações web, sendo por isso um alvo bastante apetecido.
Investigadores de segurança alertam que que estss vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, permitem potencialmente a execução remota de código (RCE) e poderão afectar as versões 5, 6, 7 e 8 do PHP. Os investigadores confirmaram que as falhas são reais e conseguiram reproduzir uma delas, mas estão a evitar divulgar detalhes técnicos antes das correções serem disponibilizadas. Da mesma forma, a equipa do PHP também não confirmou ainda quais as versões afectadas nem explicou como as vulnerabilidades podem ser exploradas.
A divulgação das falhas estava originalmente prevista para quinta-feira, 22 de Outubro, mas as informações começaram a circular mais cedo que o esperado, tendo levado à sua antecipação.The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.
— The PHP Foundation (@ThePHPF) October 20, 2026
Muitos sites optarem por tomar medidas preventivas e desactivar certas secções, como forma de se precaverem contra eventuais ataques até que as actualizações sejam disponibilizadas e aplicadas. Dito isto, haverá milhões de sites que usam PHP e que se mantêm sem gestão activa, e que se tornaram em alvos óbvios para atacantes nos próximos tempos.
Sem comentários:
Enviar um comentário (problemas a comentar?)