Cyber ·
CISA inclui duas vulnerabilidades do PHP no catálogo KEV e pede correção prioritária
A CISA acrescentou ao catálogo KEV duas falhas do PHP, CVE-2026-109618 e CVE-2026-109619, e atualizou seu alerta recomendando aplicar as correções imediatamente.
Em 26 de outubro de 2026, a CISA, agência de segurança cibernética dos Estados Unidos, informou ter incluído duas novas vulnerabilidades no catálogo Known Exploited Vulnerabilities (KEV) e atualizado o alerta sobre o PHP. As falhas listadas são a CVE-2026-109618, de corrupção de memória, e a CVE-2026-109619, de estado interno obsoleto de requisição. A agência afirma que esses tipos de vulnerabilidade são um vetor frequente para agentes maliciosos e representam riscos significativos para o setor federal.
O aviso menciona a Binding Operational Directive (BOD) 26-04, que orienta agências do Poder Executivo Federal Civil dos EUA a priorizar a correção de vulnerabilidades de alto risco listadas no KEV em ativos expostos publicamente, e a verificar comprometimento antes de aplicar a correção. A diretiva se aplica somente a essas agências, mas a CISA incentiva todas as organizações a adotarem gestão de vulnerabilidades baseada em risco e a priorizarem o catálogo KEV.
Para consultar e verificar, acesse o alerta original diretamente no site oficial da CISA, procure as duas CVEs citadas e confira a versão do PHP em uso. A agência também aceita indicações de vulnerabilidades exploradas, desde que tenham identificador CVE, evidências de exploração e orientação clara de mitigação.
Fonte original: CISA adiciona duas vulnerabilidades exploradas ao catálogo KEV