Cyber ·
Vulnerabilidade crítica no PHP (CVE-2026-109618, CVE-2026-109619) e infoCon amarelo
O SANS ISC elevou o infoCon para amarelo após o PHP anunciar uma atualização crítica para duas CVEs, com CVSS 9.4 e exploits PoC preliminares disponíveis antes do patch.
Radar, 21 de outubro (quarta-feira). O PHP.net anunciou que lançaria no mesmo dia uma atualização crítica para duas vulnerabilidades, CVE-2026-109618 e CVE-2026-109619. O SANS ISC mudou o infoCon para amarelo por três motivos citados na fonte: o uso disseminado do PHP, a gravidade esperada da falha (CVSS 9.4) e a disponibilidade de exploits PoC preliminares antes de o patch estar disponível. O texto da fonte não detalha versões afetadas nem vetores de ataque; consulte o registro original para isso. Para organizações que executam PHP, o passo prático é identificar as versões em uso e aplicar a atualização assim que for publicada. A Rota Nacional não corrige softwares de servidor, portanto este aviso não tem relação direta com a plataforma. Se você usar IA para estudar o aviso, remova nomes de servidores, caminhos, chaves, logs e qualquer dado pessoal antes de enviar o texto. A barreira da plataforma detecta CPF, CNPJ, e-mail, telefone e nomes, mas não identifica segredos de infraestrutura. Para verificar, consulte a entrada original do diário do SANS ISC e as notas de versão publicadas pelo PHP.net, usando os links do feed de origem, e confira os identificadores CVE nos registros oficiais.