PHP corrige duas falhas críticas de RCE encontradas com modelos de IA de ponta

Em 21 de outubro de 2026, o projeto PHP lançou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP. Essas versões de segurança corrigem duas vulnerabilidades críticas que podem permitir a execução remota de código sem autenticação e foram descobertas com modelos de IA de ponta. A divulgação coordenada envolveu o projeto PHP, a OpenAI, a empresa de pesquisa em segurança Calif e a empresa de segurança em nuvem Wiz.

As versões corrigidas

O comunicado de segurança do projeto PHP informa que as quatro versões corrigem a CVE-2026-109618, descrita como execução remota de código por corrupção causada por esgotamento de memória, e a CVE-2026-109619, descrita como execução remota de código por estado global obsoleto. Em um aviso antecipado, publicado em 20 de outubro de 2026, a equipe de segurança do PHP atribuiu às duas vulnerabilidades a pontuação 9.2 no CVSS v4.0 e programou o lançamento para as 14h00 UTC de 21 de outubro.

Todas as instalações do PHP que atendem a solicitações da web estão em risco, segundo o comunicado, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O risco é considerado maior no mod_php, em que uma exploração demonstrada pode ser acionada por uma solicitação sem autenticação antes da execução de qualquer código da aplicação.

O projeto afirma que não há mitigações completas e que atualizar é a única opção segura, embora liste configurações provisórias que reduzem a exposição a caminhos de ataque específicos. As distribuições Linux e os fornecedores de suporte de longo prazo (LTS) receberam as correções antecipadamente. A equipe de segurança do PHP também forneceu correções mínimas no código-fonte para o PHP 7.4, 8.0 e 8.1, que já não recebem atualizações, e observou que o PHP 8.2 chegará ao fim da vida útil em 31 de dezembro de 2026.

As vulnerabilidades e o exploit php2shell

A divulgação técnica da Wiz Research descreve a CVE-2026-109618 como abrangendo um uso após liberação (use-after-free) em um desserializador do recurso de progresso de upload e a divulgação remota da memória de processos. Já a CVE-2026-109619 abrange um uso após liberação em um rastreamento de pilha de erro fatal e uma confusão de tipos no OPcache. Todos são problemas de segurança de memória decorrentes da maneira como o PHP trata erros fatais, especialmente erros de esgotamento de memória, durante o processamento de solicitações.

A Wiz afirmou que todas as versões do PHP lançadas na última década são afetadas por pelo menos uma das vulnerabilidades, desde a versão 5.4. A Calif informou que o caminho afetado mais antigo que encontrou remonta ao PHP 5.4.0 e que os caminhos de exploração, que dependem da versão do PHP e da SAPI, são sempre exploráveis nas configurações padrão.

A Wiz combinou as vulnerabilidades em um único script de exploração chamado php2shell e demonstrou a execução remota de código sem autenticação nas imagens de contêiner mais recentes do WordPress, Drupal e Joomla. Separadamente, demonstrou a divulgação de memória dos processos trabalhadores do PHP, independentemente da aplicação; essa memória pode conter senhas, tokens de autenticação, chaves de API e certificados. O relatório da Calif registra casos confirmados de execução remota de código antes da autenticação no WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 e WHMCS, além de scripts PHP arbitrários em alguns casos.

Segundo a Wiz, o PHP dá suporte a 70% de todos os sites, incluindo WordPress, Joomla, Drupal e o MediaWiki da Wikipedia, e as descobertas estão entre as vulnerabilidades mais graves já identificadas no PHP.

Como modelos de IA de ponta encontraram as falhas

A OpenAI afirmou que, nos últimos dois meses, liderou uma coalizão de mantenedores, pesquisadores e provedores de segurança para resolver as vulnerabilidades. Nesse trabalho, a Calif identificou uma falha crítica usando seu modelo GPT-5.6 Sol, como parte da iniciativa Patch the Planet da OpenAI, enquanto a Wiz descobriu e comunicou as duas vulnerabilidades de forma independente. Os mantenedores do PHP lideraram as correções e o lançamento.

As cronologias dos participantes mostram descobertas independentes que se sobrepuseram. A PHP Foundation registra que a Calif iniciou sua auditoria em 30 de julho de 2026 e que o pesquisador da Calif Ryan A comunicou uma execução remota de código incondicional em 11 de agosto de 2026; no mesmo dia, a OpenAI comunicou de forma independente a mesma causa-raiz. Segundo o relato da Calif, a descoberta ocorreu em 1º de agosto de 2026; uma prova de conceito de RCE foi compartilhada com o PHP em 14 de agosto de 2026, o PHP confirmou o problema em 15 de agosto de 2026 e um segundo bug foi comunicado em 21 de agosto de 2026.

A Wiz informa que descobriu a primeira vulnerabilidade em 19 de agosto de 2026 usando Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol; confirmou a execução de código sem autenticação no Drupal em 20 de agosto de 2026 e no WordPress em 21 de agosto; e comunicou as vulnerabilidades à equipe de segurança do PHP em 24 de agosto de 2026. Segundo a PHP Foundation, a OpenAI acrescentou outros vetores de ataque em 18 de setembro de 2026. De acordo com a Wiz, o PHP reconheceu os relatos e começou a desenvolver uma correção coordenada em 21 de setembro de 2026.

A fragilidade subjacente tem uma longa história. A Calif relata que Stefan Esser encontrou a primeira vulnerabilidade remota relacionada ao limite de memória do PHP em 2004; que, em 2020, foi comunicado ao projeto um bug que descrevia uma condição de esgotamento de memória; e que uma auditoria de 2024, realizada pela OSTIF e pela Quarkslab, redescobriu o problema, mas não comprovou sua explorabilidade. A PHP Foundation escreveu que a auditoria de 2024 foi financiada pela Sovereign Tech Agency e que o trabalho em uma correção estagnou e foi retomado repetidamente ao longo de vários meses: “Não vamos fingir o contrário: o atraso foi uma falha estrutural.”

A OpenAI afirmou que, dada a gravidade das falhas e a ampla utilização do PHP, considera este um dos problemas de segurança de maior impacto dos últimos tempos. A empresa disse que, até onde sabe, a IA de ponta encontrou as vulnerabilidades antes dos atacantes, abrindo o que chama de Janela do Defensor. Comprometeu-se a oferecer US$ 1 bilhão em acesso subsidiado ao Daybreak para defensores na linha de frente e publicou um verificador de versões do PHP como uma habilidade do Codex no repositório openai/php2shell-checker do GitHub.

Vazamento da divulgação e violação do embargo

A PHP Foundation informa que a divulgação coordenada permaneceu sob embargo até dois dias antes da data prevista para o lançamento. Por volta das 15h UTC de 20 de outubro de 2026, os dois identificadores CVE começaram a circular em fóruns on-line e nas redes sociais, acompanhados de um horário de lançamento incorreto e de uma pontuação CVSS incorreta de 10,0, embora nenhum detalhe técnico tenha vazado. O projeto PHP antecipou o pré-anúncio para as 19h30 UTC daquele dia e mudou o lançamento de 22 de outubro de 2026 para 21 de outubro de 2026, às 14h UTC, informando que os distribuidores ainda estavam preparando o pacote da correção.

Por volta das 20h UTC de 20 de outubro, Calif publicou por engano um vídeo que mostrava sua prova de conceito funcionando contra vários alvos. Segundo a Foundation, cópias do vídeo circularam e contribuíram para acelerar o desenvolvimento de várias explorações de prova de conceito em 21 de outubro. Às 7h41 UTC de 21 de outubro, mais de seis horas antes do lançamento coordenado, a Chainguard rompeu unilateralmente o embargo e publicou imagens já construídas que continham a correção, informa a Foundation. A equipe de segurança do PHP monitorou as provas de conceito que surgiram após o vazamento, mas não identificou nenhuma exploração funcional no momento do lançamento e da divulgação pública.

Coordenação governamental e uma estrutura proposta

A OpenAI disse que trabalhou com parceiros para envolver várias áreas do governo dos EUA, incluindo a White House’s Super Intelligence Force, o Office of the National Cyber Director e a Cybersecurity and Infrastructure Security Agency, além de parceiros internacionais, a fim de ajudar a levar orientações de segurança a organizações críticas. A Wiz afirmou que, antes da divulgação pública, se associou à Google Cloud, à Cloudflare, à AWS, à Microsoft, à Automattic, à Fastly, à Akamai, à Imperva, à Vercel e a outras empresas para preparar orientações para clientes, mecanismos de detecção e medidas de mitigação prontas para uso destinadas a organizações que não podem atualizar seus sistemas imediatamente.

A OpenAI também publicou uma proposta de estrutura de cinco etapas para responder a vulnerabilidades críticas em softwares amplamente utilizados: validar e corrigir a vulnerabilidade no projeto de origem, dar às organizações afetadas tempo para agir, coordenar-se com parceiros governamentais, preparar atualizações para todos os produtos afetados e publicar orientações assim que houver um patch disponível. A empresa pediu à comunidade de segurança que compartilhasse suas opiniões sobre a abordagem.

A PHP Foundation, que criou uma equipe de segurança do ecossistema em maio de 2026 e contratou Alexandre Daubois em julho de 2026 e Daniel Scherzer em setembro de 2026, afirmou que a equipe publicou 15 CVEs desde 1º de julho de 2026, enquanto analisava mais de 100 relatos que se mostraram inválidos, duplicados ou impossíveis de reproduzir. A fundação pediu patrocínio a empresas, provedores de hospedagem, plataformas de nuvem, distribuições e governos cujos serviços funcionam com PHP.