O projeto PHP publicou, em 21 de outubro de 2026, correções para duas vulnerabilidades críticas, identificadas como CVE-2026-109618 e CVE-2026-109619. Segundo o material do Defesa em Foco, governos dos Países Baixos, da Finlândia e da França suspenderam temporariamente alguns serviços digitais por precaução.
As falhas, chamadas PHP2Shell e classificadas com gravidade 9,2 em 10, podem permitir a execução remota de código em determinadas condições. O PHP é executado nos servidores de aplicações como WordPress, Drupal e Joomla. A nota de gravidade não significa que todos os servidores estejam vulneráveis, e a Cloudflare relatou tentativas de ataque sem que isso, por si só, comprove invasões bem-sucedidas.
Foram disponibilizadas as versões corrigidas 8.2.35, 8.3.36, 8.4.27 e 8.5.12. O WordPress alertou que atualizar o sistema de gerenciamento de conteúdo não substitui a correção do PHP instalado no servidor. Para organizações brasileiras, o passo indicado é identificar os ambientes afetados e aplicar as atualizações apropriadas, considerando também pacotes de sistemas Linux que possam incluir correções sem reproduzir esses números de versão.
Fontes: Defesa em Foco; projeto PHP; Cloudflare; WordPress; Reuters.