CISA recomenda correção imediata de vulnerabilidades no PHP

dog signage — Claudio Schwarz / Unsplash

O órgão de segurança cibernética dos Estados Unidos, CISA, emitiu uma forte recomendação para que as correções sejam aplicadas imediatamente em resposta a duas vulnerabilidades graves encontradas na linguagem de programação PHP. Caso a atualização seja complicada, a CISA sugere que os sistemas sejam desconectados da internet.

A advertência foi divulgada no dia 21 de outubro de 2026. As vulnerabilidades, conhecidas como CVE-2026-109618 e CVE-2026-109619, também referidas como php2shell, afetam todos os ambientes que processam solicitações da web utilizando PHP. A CISA alertou que, sem a necessidade de autenticação, pode haver a execução remota de código malicioso.

Até o momento da elaboração do aviso da CISA, não foi observada a exploração dessas vulnerabilidades. Entretanto, a agência recomenda que as organizações façam um inventário do uso do PHP em seus sistemas e atualizem para as versões corretivas PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 imediatamente.

A CISA enfatizou a prioridade no tratamento de sistemas conectados à internet e pediu atenção especial para sistemas que incorporam PHP. Embora os firewalls de aplicações web (WAF) possam oferecer alguma proteção, a CISA reforçou a necessidade de operar os sistemas PHP offline até que as atualizações ou correções sejam aplicadas.

Além disso, a CISA recomenda monitorar comportamentos que possam indicar um ataque, como o lançamento de shells a partir dos processos de trabalho do PHP ou o download de ferramentas suspeitas.