Foram divulgadas duas vulnerabilidades críticas no PHP, identificadas como CVE-2026-109618 e CVE-2026-109619, que podem permitir a execução de código no servidor sem autenticação. A equipa do PHP disponibilizou actualizações de segurança e recomenda a sua aplicação imediata.
Nos servidores de hospedagem TurboHost, já estamos a actualizar os pacotes e a aplicar medidas de mitigação. A intervenção está em curso.
Se utiliza PHP num VPS ou servidor dedicado, o responsável pela administração deve:
Actualizar todas as instalações de PHP para as versões corrigidas: 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou versões posteriores da respectiva série.
Caso utilize pacotes da distribuição, confirmar que estes incorporam as correcções para ambas as vulnerabilidades.
Verificar todas as versões utilizadas pelos sites, painéis de controlo e containers.
Reiniciar os serviços afectados para que as correcções entrem em vigor.
Confirmar que os sites utilizam o PHP actualizado e validar o funcionamento das aplicações.
Se utiliza PHP 8.1 ou anterior, confirme a disponibilidade de correcções para os seus pacotes ou providencie a migração para uma versão suportada.
A intervenção nos servidores de hospedagem não actualiza automaticamente os servidores VPS ou dedicados. Se administra o seu servidor, aplique estas medidas. Se tem um serviço de gestão contratado, confirme a intervenção com a equipa responsável.
Restrinja temporariamente o acesso às aplicações afectadas, sempre que possível, e siga as medidas de mitigação publicadas pela equipa do PHP.
As mitigações não garantem protecção completa e não substituem a actualização. Actualizar apenas o WordPress, os plugins ou os temas também não corrige o PHP instalado no servidor.
Consulte o aviso oficial de segurança do PHP para obter os detalhes técnicos e as orientações de mitigação.
Equipa TurboHost
Worldwide (English)
Mozambique (Portuguese)