CVE-2026-109618: Vulnerabilidade de Corrupção de Memória do PHP

De acordo com Rapid7, em 21 de outubro de 2026, o projeto PHP anunciou lançamentos de segurança para duas vulnerabilidades críticas no PHP[3]. Rapid7 relata que CVE-2026-109618 pode corromper memória durante tratamento de falta de memória (OOM)[3], e que ambas as falhas possuem uma pontuação CVSSv4 de 9,2[3].watchTowr relata que detalhes vazaram em redes sociais antes da data planejada de divulgação em 22 de outubro[1]. De acordo com Sansec, Cloudflare relatou ataques iniciais às 07:43 UTC em 21 de outubro, antes do lançamento às 14:00 UTC.[2]O PHP Group, conforme citado por Plesk, diz que considera o risco maior para mod_php, com um exploit demonstrado em que uma solicitação não autenticada pode desencadear o ataque antes de qualquer código de aplicação ser executado.[4] Sansec diz que o manipulador de progresso de upload do PHP pode retornar memória de worker liberada ao cliente dentro de um cookie de resposta PHPSESSID.[2]Rapid7 diz que os exploits de prova de conceito públicos funcionam apenas contra configurações particulares, e que "nenhum parece ser amplamente confiável."[3] Sansec relata que os exploits públicos não funcionam contra uma instalação padrão do PHP.[2]De acordo com AWS, atualizar imediatamente para um lançamento do PHP corrigido é a única solução completa: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.[5] Rapid7 relata que PHP forneceu backports de fonte limitados para PHP 7.4, 8.0 e 8.1.[3]Cortex Xpanse da Palo Alto Networks diz ter encontrado mais de 22,6 milhões de instâncias expostas potencialmente vulneráveis[6]. watchTowr relatou que em 22 de outubro de 2026, CISA ainda não adicionou nenhum dos CVEs ao seu catálogo de Vulnerabilidades Exploradas Conhecidas.[1]