Cyber ·
CVE-2026-109619: RCE no PHP 8.2 a 8.5 por estado global obsoleto
Aviso no feed oss-sec, publicado em 21 de outubro de 2026, descreve execução remota de código (RCE) no PHP por estado global obsoleto. As versões corrigidas indicadas são 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Uma resposta alerta que o título pode sugerir que versões anteriores não são afetadas.
O que o registro informa: a vulnerabilidade está identificada como CVE-2026-109619 e é descrita como execução remota de código no PHP causada por estado global obsoleto. Segundo o texto citado de Jakub Zelenka, as versões afetadas são o PHP 8.2 anteriores à 8.2.35, o PHP 8.3 anteriores à 8.3.36, o PHP 8.4 anteriores à 8.4.27 e o PHP 8.5 anteriores à 8.5.12. A mensagem foi publicada por Christian Fischer em 21 de outubro de 2026, em resposta à lista oss-sec, e é uma tradução automática de conteúdo do feed.
Ponto de atenção: a resposta observa que o título e o texto podem sugerir, de forma incorreta, que apenas as versões 8.2 a 8.5 são afetadas e que versões anteriores estariam fora do escopo. O material citado não confirma nem descarta a situação de versões anteriores. Não trate a ausência de menção como garantia de segurança.
Como consultar e verificar: use a entrada de arquivo de segurança do PHP de 2026 e o registro da lista oss-sec citados na própria fonte, buscando pelo identificador CVE. Compare a versão exata em uso com as faixas listadas e confirme no aviso oficial se há outras versões impactadas.
Fonte original: Re: CVE-2026-109619: RCE no PHP 8.2–8.5 por estado global obsoleto