Falhas do PHP
Duas falhas de segurança críticas no PHP, corrigidas em 21 de outubro de 2026. Aqui você encontra a avaliação, as versões corrigidas e as fontes.
Segundo os advisories do projeto PHP, as duas falhas afetam os ramos 8.2, 8.3, 8.4 e 8.5. O projeto PHP classifica ambas como críticas e indica a atualização para uma versão corrigida como a única solução completa. Esta página descreve as falhas propositalmente apenas de forma geral.
Execução de código após interrupção por falta de memória (OOM)
Em caso de falta de memória, o PHP podia deixar uma requisição em um estado parcialmente inicializado, que continuava sendo processado na limpeza (use-after-free). Segundo o advisory, é possível executar código remotamente sem autenticação.
Execução de código por estado global desatualizado
Em processos worker de longa duração, o estado global da requisição não era redefinido antes de a memória da requisição ser liberada (use-after-free). Uma requisição posterior ao mesmo worker podia acessá-lo.
| Ramo | Correção incluída |
|---|---|
| PHP 8.2 | a partir de 8.2.35 |
| PHP 8.3 | a partir de 8.3.36 |
| PHP 8.4 | a partir de 8.4.27 |
| PHP 8.5 | a partir de 8.5.12 |
A comparação é sempre feita dentro do respectivo ramo: 8.3.35 está abaixo da versão corrigida, 8.4.27 a atinge. Um único valor mínimo global estaria errado.
O PHP 8.1 e ramos mais antigos não recebem mais atualizações do projeto PHP. Segundo o php.net, o PHP 8.2 chega ao fim do suporte em 31/12/2026.
Os advisories descrevem impactos em várias interfaces de servidor, entre elas o módulo Apache, PHP-FPM, LSAPI e FrankenPHP – com vias de ataque confirmadas em graus diferentes. Por isso, o PHP-FPM não está excluído de forma geral. Atualize todos os runtimes PHP que executam o seu site e reinicie-os após a atualização.
Distribuições podem incorporar correções em versões de pacote mais antigas. Se isso vale para o seu pacote, só o aviso de segurança do respectivo fornecedor para exatamente essa versão do pacote e os dois identificadores CVE pode comprovar. Enquanto não houver essa comprovação, o PHP Checker classifica versões-base mais antigas com revisão do fornecedor como “Verificação do fornecedor necessária”.
Como atualizar o PHP – passo a passo
Referência: revisada tecnicamente em 21 de outubro de 2026 · versão dos dados 2026-10-21.1. A referência só é atualizada após uma revisão técnica efetiva das fontes.