Cyber ·
CVE-2026-109619: dúvida sobre versões afetadas por RCE no PHP 8.2 a 8.5
Uma resposta na lista oss-sec questiona quais versões do PHP são afetadas pelo CVE-2026-109619, uma falha de execução remota de código ligada a estado global obsoleto nas versões 8.2 a 8.5.
Em 22 de outubro de 2026, Markus Gschwendt publicou na lista oss-sec uma resposta à discussão sobre o CVE-2026-109619, uma vulnerabilidade de execução remota de código (RCE) no PHP 8.2 a 8.5, associada a estado global obsoleto. O autor da resposta questiona a lista de versões específicas afetadas. Ele cita um texto da Wiz segundo o qual quase todas as versões do PHP são afetadas por pelo menos um dos problemas, incluindo lançamentos que remontam ao PHP 5.4. Segundo o trecho citado, as vulnerabilidades podem permitir que atacantes não autenticados executem código em servidores afetados ou leiam memória sensível do processo, que pode conter senhas e tokens de autenticação. A própria discussão deixa em aberto a abrangência exata por versão. Para verificar, consulte o thread original no arquivo público da lista oss-sec, a comunicação de segurança do projeto PHP e o texto da Wiz citado, comparando as datas e as faixas de versão de cada fonte. Como este item é um aviso de segurança, o Rota Nacional não resolve nem corrige a falha. Para quem opera PHP, a prioridade é identificar as instalações e aplicar as correções indicadas pelo fornecedor ou pelo projeto.
Fonte original: Re: CVE-2026-109619: RCE no PHP 8.2–8.5 por estado global obsoleto