CVE-2026-109618: execução remota de código no PHP por corrupção após falta de memória

O que é a CVE-2026-109618?

A CVE-2026-109618 é uma das duas vulnerabilidades do PHP2Shell. O título oficial dado pelo PHP é “RCE via OOM corruption”, ou seja, execução remota de código por corrupção de memória quando falta memória. Se uma alocação de memória falha no meio da preparação dos dados da requisição, a rotina de limpeza do PHP pode mexer em dados que nunca foram totalmente inicializados. Corromper a memória dessa forma pode permitir que um atacante execute código usando requisições web comuns.

O boletim do GitHub classifica a CVE-2026-109618 como crítica, com nota CVSS 4.0 de 9,2 e vetor CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N: dá para explorá-la pela rede, sem login e sem interação do usuário, embora a complexidade do ataque seja considerada alta e certas condições precisem estar presentes.

Quais versões do PHP são afetadas pela CVE-2026-109618?

Todos os ramos com suporte abaixo da versão corrigida são afetados. Os ramos antigos também: o PHP publicou patches de código-fonte para o 7.4, o 8.0 e o 8.1, mas nenhuma versão nova, e a pesquisa original afirma que pelo menos uma das falhas do PHP2Shell vem desde o PHP 5.4.

As distribuições Linux publicam seus próprios pacotes corrigidos, muitas vezes com números de versão que parecem mais antigos. A tabela abaixo também lista imagens, painéis e provedores de hospedagem cuja situação ainda não verificamos:

Como corrijo a CVE-2026-109618?

Atualize o PHP que atende o seu site para a versão corrigida do seu ramo (ou mais nova), ou instale o pacote corrigido da sua distribuição, e depois reinicie todos os processos (workers) do PHP: os pools do PHP-FPM ou o Apache. A correção da CVE-2026-109618 vem nas mesmas versões que a da CVE-2026-109619, então uma única atualização resolve as duas. O passo a passo está no guia de correção do PHP2Shell.

Para o PHP 7.4, 8.0 e 8.1, o PHP publicou patches mínimos de código-fonte, mas nenhuma versão nova; ramos mais antigos não têm patch oficial. Veja fim do suporte do PHP.

Por que ficar sem memória pode ser explorado?

Normalmente, quando o PHP interrompe uma requisição por ter atingido o limite de memória, é só um erro. Com a CVE-2026-109618, um atacante consegue fazer essa falha acontecer justamente quando os dados internos do PHP estão preparados pela metade. A limpeza que vem em seguida trabalha com dados inconsistentes, e a memória corrompida pode ser direcionada para executar código. Esconder as mensagens de erro não adianta: o PHP diz que error_reporting, display_errors e @ não fazem diferença.

Existe uma mitigação para a CVE-2026-109618?

Não existe uma completa. O PHP lista medidas temporárias que reduzem a exposição, como remover o limite de memória do PHP e diminuir o post_max_size, mas avisa que elas não deixam a instalação segura: uma falha de alocação de outra origem ainda pode chegar ao código vulnerável. Detalhes e limites: mitigação da CVE-2026-109618.

Como sei se meu servidor é afetado pela CVE-2026-109618?

Descubra a versão do PHP e a configuração que o seu site realmente usa e informe no verificador de versão do PHP. O php -v na linha de comando pode mostrar um PHP diferente do que atende o site; o guia para ver a versão do PHP explica onde olhar.

A CVE-2026-109618 já está sendo explorada?

Há relatos de tentativas de ataque, mas nenhuma invasão bem-sucedida foi confirmada. A Cloudflare relatou tráfego de ataque do PHP2Shell contra seus clientes antes de a correção ser lançada. Nenhuma das fontes que consultamos até 22 de outubro de 2026 confirma uma invasão bem-sucedida, e não colocamos links para código de exploração. Considere exposto qualquer PHP sem correção acessível pela internet e atualize.

Qual é a diferença entre a CVE-2026-109618 e a CVE-2026-109619?

A CVE-2026-109618 trata da corrupção de memória quando uma alocação falha durante a preparação da requisição. A CVE-2026-109619 trata de um estado obsoleto, deixado por uma requisição já encerrada, que é reaproveitado por uma requisição seguinte. As duas são corrigidas nas mesmas versões e, juntas, recebem o nome de PHP2Shell. Visão geral: vulnerabilidade PHP2Shell · verificador PHP2Shell.

Quais fontes embasam esta página?

• Boletim do GitHub GHSA-w8hw-w9fx-j79w
• The PHP Group: boletim de segurança
• Wiz Research: pesquisa original
• Canonical: página da CVE no Ubuntu
• Cloudflare: proteções do WAF