Segurança e manutenção
Duas vulnerabilidades críticas no PHP: como proteger o seu site?
Vulnerabilidades do PHP de outubro de 2026: versões corrigidas, verificações do alojamento e passos para atualizar o seu site WordPress ou aplicação PHP.
O meu site utiliza PHP: o que devo fazer agora?
Peça ao seu fornecedor de alojamento ou responsável técnico que confirme a correção das duas vulnerabilidades CVE-2026-109618 e CVE-2026-109619 no ambiente que serve efetivamente o seu site. As versões corrigidas do PHP são 8.2.35, 8.3.36, 8.4.27 e 8.5.12; um pacote do fornecedor também pode conter as correções adaptadas a uma versão anterior. Atualizar o WordPress ou os seus plugins não basta para atualizar o PHP. Solicite a verificação da aplicação da correção, do reinício dos processos afetados e dos percursos essenciais do site.
Um alerta de segurança transforma-se rapidamente em perguntas muito concretas para uma empresa: o nosso site está afetado, quem deve intervir e como podemos verificar que o problema foi tratado? As duas vulnerabilidades críticas do PHP anunciadas em outubro de 2026 justificam uma ação rápida e coordenada com o responsável pelo alojamento.
Este ponto de situação, verificado a 23 de outubro de 2026, distingue as correções disponíveis, as verificações a pedir e a organização a prever em seguida. Encontrará também os serviços da Oryon adequados ao diagnóstico, às atualizações e ao acompanhamento da sua infraestrutura.
Duas vulnerabilidades confirmadas, com correções já disponíveis
Os avisos de segurança do PHP identificam a CVE-2026-109618, relacionada com a gestão de uma situação de falta de memória, e a CVE-2026-109619, relacionada com um estado interno mantido entre pedidos. Ambas são classificadas como críticas, com uma pontuação CVSS v4 de 9,2 em 10. Uma exploração bem-sucedida pode permitir a execução de código num servidor vulnerável sem autenticação.
O risco afeta as instalações de PHP que processam pedidos Web, incluindo PHP-FPM, Apache com mod_php, CGI, FrankenPHP e LiteSpeed. As condições de exploração variam consoante o ambiente. A 22 de outubro, o CERT-FR referia provas de conceito para algumas configurações; isso não permite contabilizar os sites efetivamente comprometidos.
Perto de 70 %: um número de utilização, não um balanço de sites comprometidos
A 23 de outubro de 2026, a W3Techs estima que o PHP é utilizado por 69,3 % dos sites cuja linguagem do lado do servidor é conhecida. Este âmbito é importante: não se trata de todos os sites da Web, nem de um inventário das instalações que continuam vulneráveis.
Para a sua empresa, a pergunta útil diz respeito, por isso, à sua própria instalação. Um logótipo do WordPress, uma página que responde normalmente ou uma versão apresentada por uma ferramenta pública não bastam para confirmar que as duas correções foram aplicadas.
Que versões do PHP corrigem estas vulnerabilidades?
O projeto PHP publicou as seguintes versões a 21 de outubro de 2026. Numa instalação distribuída diretamente pelo PHP, verifique a série de versões utilizada e adote uma versão corrigida dessa série, ou uma versão posterior compatível com a sua aplicação.
As distribuições Linux podem adaptar uma correção a uma versão anterior sem adotar este número de versão. Por exemplo, o Ubuntu corrigiu as duas CVE no pacote 8.3.6-0ubuntu0.24.04.13 para Ubuntu 24.04. Peça o número completo do pacote e o boletim correspondente do fornecedor antes de tirar conclusões apenas a partir do número de versão do PHP.
O PHP 8.1 e as séries anteriores já não beneficiam do suporte geral do projeto PHP. Existem correções específicas adaptadas a essas versões, mas não restabelecem esse suporte: verifique a cobertura do seu fornecedor e prepare uma migração compatível. O suporte do PHP 8.2 termina a 31 de dezembro de 2026.
| Série do PHP | Versão corrigida |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Um plano de ação para o seu site ou aplicação
Comece por identificar quem pode alterar o ambiente PHP. Num alojamento partilhado, esta intervenção cabe geralmente ao fornecedor de alojamento. Num servidor administrado pela sua empresa, deve ser organizada com o responsável técnico ou com o prestador que gere os sistemas. Quem altera as suas páginas não tem necessariamente acesso ao servidor.
- Inventariar os sites, subdomínios e aplicações PHP afetados, incluindo os ambientes esquecidos mas ainda acessíveis.
- Obter uma confirmação que abranja as duas CVE, o pacote ou a imagem instalados e o ambiente Web efetivamente utilizado. A versão da linha de comandos pode ser diferente da versão do site.
- Verificar que existem uma cópia de segurança utilizável e um procedimento de restauro, e preparar os testes de compatibilidade. Esta preparação deve ser proporcional à urgência.
- Aplicar a correção validada com o fornecedor de alojamento. No caso de um contentor, atualizar a imagem e, em seguida, reconstruir e voltar a implementar as instâncias afetadas.
- Reiniciar os processos PHP ou Web afetados de acordo com o procedimento do ambiente e confirmar a versão ou o pacote efetivamente carregados.
- Testar os formulários, o início de sessão, a administração e, no caso de uma loja, o processo de encomenda. Registar o resultado, a hora da intervenção e os eventuais pontos por tratar.
Porque não basta atualizar o WordPress ou utilizar uma firewall
O WordPress, os seus plugins, o tema e o PHP são componentes distintos. Um painel do WordPress atualizado não confirma que o ambiente PHP recebeu a correção. É necessário acompanhar ambos os níveis e verificar a compatibilidade antes de mudar de série do PHP.
O PHP indica que nenhuma medida de mitigação constitui uma proteção completa em substituição da atualização. O CERT-FR descreve medidas provisórias não validadas: algumas reduzem apenas parte da superfície de ataque e podem afetar funções do site. Uma firewall de aplicações Web pode contribuir para uma proteção temporária, sem substituir a correção.
Se não for possível aplicar a correção de imediato, decida com o responsável pelo alojamento quais as restrições ou o isolamento temporário necessários. Se houver sinais de intrusão, uma atualização, por si só, não prova que o servidor está íntegro: preserve os registos disponíveis e solicite a análise do incidente.
Depois da urgência: saber quem acompanha as atualizações
Uma manutenção útil deixa registos compreensíveis: os componentes acompanhados, os respetivos responsáveis, as operações realizadas e as verificações efetuadas. Prevê também a substituição das versões em fim de suporte. Sem este enquadramento, um alerta pode revelar um site cujo alojamento já ninguém sabe atualizar.
Peça um âmbito definido por escrito: PHP e sistema, CMS e plugins, código específico, cópias de segurança, testes de restauro e monitorização. Especifique quem recebe os alertas e quem autoriza uma intervenção urgente. O resultado esperado é um procedimento utilizável e documentado; nenhum serviço pode prometer a ausência de qualquer vulnerabilidade.
Como a Oryon pode ajudar
Não sabe que versão está a funcionar no seu site, quem gere o PHP ou que atualizações deve priorizar? A auditoria técnica da Oryon permite avaliar a situação no âmbito acordado, classificar os riscos e propor medidas. A auditoria e a execução das correções são serviços cujo âmbito deve ser definido separadamente.
Para o acompanhamento de servidores Linux, o nosso serviço de gestão de sistemas combina inventário, atualizações, monitorização e cópias de segurança com restauro testado. Para um site WordPress, o nosso acompanhamento abrange, nomeadamente, a retoma de projetos, o reforço da segurança e a manutenção, com preparação das intervenções e verificações de acordo com o orçamento. Determinamos consigo o que cabe ao fornecedor de alojamento, ao site e ao código específico.
Para preparar a conversa, indique o endereço do site, o fornecedor de alojamento, o CMS utilizado, caso o conheça, e a resposta já recebida sobre estas duas CVE. Não envie palavras-passe através do formulário de contacto. Poderemos assim definir as verificações e a intervenção adequadas ao seu contexto.