Cyber ·
Dois CVEs de execução remota de código no PHP 8.2 a 8.5 causados por estado global obsoleto
Um comentário na lista oss-sec de 22 de outubro de 2026 informa que os identificadores CVE-2026-109618 e CVE-2026-109619 surgiram juntos, mas tratam de duas vulnerabilidades distintas no PHP 8.2 a 8.5.
Radar registra um comentário publicado em 22 de outubro de 2026 na lista oss-sec por Emmanuel Fleury, com título que cita o CVE-2026-109619 e descreve execução remota de código no PHP entre as versões 8.2 e 8.5, associada a estado global obsoleto. O texto afirma que os identificadores CVE-2026-109618 e CVE-2026-109619 foram encontrados juntos, mas parecem ser duas vulnerabilidades diferentes, ainda que compartilhem bastante em comum. O comentário é uma tradução automática de conteúdo publicado no feed da lista e aponta para uma descrição técnica dos defeitos e do processo de descoberta, publicada por um pesquisador em site próprio.
O material não informa, no trecho recebido, detalhes como condições de exploração, pontuação de severidade, lista completa de versões afetadas ou correção oficial disponível. Essas informações devem ser verificadas na fonte original. Para consultar e verificar, acesse o arquivo da lista oss-sec de outubro de 2026, localize a thread do comentário e siga o link técnico citado nele. Depois, compare com o aviso oficial do projeto PHP e com o boletim da distribuição ou do fornecedor que a sua organização usa.
A Rota Nacional não é a solução para esse problema, e este item não descreve nenhuma capacidade da plataforma relacionada à correção do interpretador PHP. A relevância para o leitor é de gestão de patches e de inventário: quem mantém aplicações PHP deve identificar as instâncias nas versões indicadas e priorizar a atualização oficial.
Fonte original: Re: CVE-2026-109619: RCE no PHP 8.2–8.5 por estado global obsoleto