Cyber ·
CVE-2026-109618 e CVE-2026-109619: backport não oficial para PHP 5.4.16 (EL7) e 5.3.3 (EL6)
Uma correção mínima de duas CVEs do PHP, sobre estado obsoleto após bailout de falta de memória, foi portada de forma não oficial para pacotes PHP de Enterprise Linux 6 e 7, sem atualização do fornecedor. O aviso foi publicado na lista oss-sec em 22 de outubro de 2026.
Segundo a mensagem publicada na lista oss-sec em 22 de outubro de 2026 por Oleksii Molchanov, a correção mínima oficial para CVE-2026-109618 e CVE-2026-109619 foi portada para os pacotes PHP 5 do Enterprise Linux 6 e 7. O commit de referência do php-src é 712e60f9ed, intitulado 'Evitar corrupção de estado via bailout', descrito como backport do PHP 7.4. Segundo o autor, o pacote php-5.4.16-48.el7 teria uma versão php-5.4.16-48.el7.php2shell.1 para RHEL 7 e derivados, e há uma versão php-5.3.3-50.el6_10 para o EL6, pacotes que não receberão atualização do fornecedor. O backport é não oficial, ou seja, não foi produzido pelo fornecedor da distribuição, e o texto da fonte disponível está truncado, então nem todos os detalhes técnicos podem ser confirmados aqui. Para quem administra esses sistemas, a orientação prática é consultar o aviso oficial da distribuição, verificar a origem de qualquer pacote antes de instalá-lo, comparar hashes e assinaturas e avaliar se a versão em uso está exposta. A Rota Nacional não corrige servidores nem substitui a gestão de vulnerabilidades. Se a equipe usar IA para estudar o texto, não cole nela credenciais, chaves, nomes de hosts internos ou logs com dados pessoais. A barreira da plataforma detecta CPF, CNPJ, e-mail, telefone e nomes, mas não garante a remoção de segredos técnicos, por isso o ideal é anonimizar o material antes de enviá-lo.