Cyber ·
Lançamento de segurança do PHP e os motivos da demora nas correções
A PHP Foundation publicou um lançamento de segurança e explicou que a demora para corrigir as vulnerabilidades se deveu a impasses técnicos, falta de recursos e falhas no processo decisório da equipe de segurança.
A PHP Foundation publicou um post no blog explicando como surgiram as vulnerabilidades divulgadas no lançamento de segurança de 21 de outubro de 2026 e por que demoraram tanto para ser corrigidas. Segundo o texto, a equipe de segurança desenvolveu várias abordagens concorrentes para resolver um problema de falta de memória (OOM), mas cada uma tinha desvantagens: quebras de compatibilidade retroativa, novo potencial de negação de serviço ou a necessidade de alterações em muitas extensões de terceiros, algo considerado difícil de coordenar. Trabalhando por consenso, a equipe teve dificuldade para escolher entre essas opções e temia as consequências de uma decisão errada. Também foram citados a falta de um caminho conhecido para execução remota de código, uma equipe principal reduzida com conhecimento profundo do mecanismo e muitas outras responsabilidades. Juntos, esses fatores fizeram o trabalho parar e recomeçar repetidamente ao longo de meses. A Foundation afirma que a demora foi uma falha estrutural, causada tanto pelo processo decisório quanto pela falta de recursos. Para quem mantém sistemas em PHP, o relevante é acompanhar os avisos oficiais e aplicar as versões corrigidas assim que disponíveis. Para consultar o original, use a referência indicada no feed de LWN, que traz tradução automática, e confira o anúncio oficial do PHP com a lista de versões afetadas antes de agir.