As vulnerabilidades, controladas como CVE-2026-109618 e CVE-2026-109619, podem permitir que os atacantes executem remotamente código malicioso em servidores vulneráveis sem autenticação. A equipa de segurança do PHP emitiu atualizações em 21 de outubro de 2026 às 13h40 UTC. Os detalhes técnicos completos destas atualizações, bem como as versões afetadas e fixas acompanham o lançamento.
O aviso de segurança do PHP pode ser consultado em: https://www.php.net/archive/2026.php
As organizações devem identificar as suas aplicações baseadas em PHP, coordenar-se com os prestadores de serviços de alojamento e aplicar as atualizações de segurança disponibilizadas. Dar prioridade aos sistemas virados para a Internet. Quando a remediação imediata não for viável, considere isolar as aplicações expostas das redes públicas até que as correções possam ser aplicadas.
Muitos produtos comerciais e de código aberto dependem do PHP em segundo plano. Como resultado, alguns podem ser afetados por estas vulnerabilidades, mesmo que não pareçam usar o PHP diretamente. Recomendamos verificar o repositório NCSC-NL do GitHub para obter informações sobre software de terceiros que inclui PHP e pode ser afetado: https://github.com/NCSC-NL/php2shell
Os últimos avisos publicados pelos membros da rede de CSIRT podem ser consultados nos seus canais de comunicação oficiais pertinentes. As organizações podem também remeter para as orientações dadas pela CERT-UE. A ENISA mantém uma coleção consultiva em: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
A ENISA e todos os intervenientes pertinentes da UE continuarão a acompanhar esta ameaça, a fim de contribuir para o conhecimento global da situação a nível da União.
Política da UE
As organizações devem ainda estar cientes de que, a partir de 11 de setembro de 2026, os fabricantes de produtos de hardware e software devem comunicar vulnerabilidades ativamente exploradas através da plataforma única de comunicação de informações das ANR, em conformidade com o Regulamento (UE) 2024/2847 (Regulamento Ciber-Resiliência). Estão disponíveis mais informações em: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting e https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
Os principais requisitos de cibersegurança do Regulamento Ciber-Resiliência serão aplicáveis a partir de 11 de dezembro de 2027. Tal exigirá que os fabricantes de produtos de hardware e software («produtos com elementos digitais») implementem a segurança desde a conceção e garantam o apoio à segurança durante o ciclo de vida desses produtos, incluindo a correção de vulnerabilidades sem demora.
Last update
22 Outubro 2026