CVE-2026-109619: execução remota de código no PHP por estado global obsoleto

O que é a CVE-2026-109619?

A CVE-2026-109619 é a segunda vulnerabilidade do PHP2Shell; o título oficial do PHP é “RCE via stale global state”, ou seja, execução remota de código por estado global obsoleto. Os processos (workers) do PHP atendem muitas requisições, uma depois da outra. Quando uma requisição termina, a memória dela é liberada, mas parte do estado global podia continuar apontando para ela. Uma requisição seguinte que use essa referência obsoleta acessa memória já liberada, e um atacante pode transformar isso em execução de código.

O boletim do GitHub classifica a CVE-2026-109619 como crítica, com nota CVSS 4.0 de 9,2 e vetor CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N: dá para explorá-la pela rede, sem login e sem interação do usuário, embora a complexidade do ataque seja considerada alta e certas condições precisem estar presentes.

Quais versões do PHP são afetadas pela CVE-2026-109619?

Todos os ramos com suporte abaixo da versão corrigida são afetados, assim como os ramos em fim de suporte. O PHP 8.1 e anteriores não recebem versões novas; o PHP publicou patches mínimos de código-fonte apenas para o 7.4, o 8.0 e o 8.1 (veja fim do suporte do PHP).

Os pacotes das distribuições têm suas próprias versões corrigidas. A tabela abaixo também lista imagens, painéis e provedores de hospedagem cuja situação ainda não verificamos:

Como corrijo a CVE-2026-109619?

Atualize o PHP para a versão corrigida do seu ramo, ou para o pacote corrigido da sua distribuição, e depois reinicie todos os workers do PHP para que nenhum processo continue com o código antigo. O boletim do GitHub é claro: atualizar para uma versão que traga o patch completo de redefinição de estado é a única mitigação confiável. O guia de correção do PHP2Shell cobre cada tipo de ambiente.

Dá para mitigar a CVE-2026-109619 sem atualizar?

Só em parte. O PHP lista duas configurações administrativas, e cada uma exige reiniciar todos os workers depois:

• session.upload_progress.enabled=0, definida no php.ini, no pool do PHP-FPM ou na configuração do servidor (não com ini_set() nem no .user.ini do FPM). Ela bloqueia os caminhos de sessão confirmados, mas não outras variantes.
• Somente no PHP 8.5, fatal_error_backtraces=0. Ela bloqueia apenas o caminho confirmado via backtrace de erro fatal.

O PHP afirma que não existe uma mitigação genérica e completa por configuração. Veja a página de mitigação da CVE-2026-109618 com todas as medidas temporárias e seus efeitos colaterais.

Por que os workers do PHP importam na CVE-2026-109619?

A falha envolve processos do PHP de longa duração, que atendem uma requisição atrás da outra. Por isso tanto a atualização quanto as medidas temporárias exigem reiniciar todos os workers: os pools do PHP-FPM, o Apache com mod_php ou o processo PHP do seu servidor. Um worker que continua rodando depois da atualização ainda tem o código antigo na memória. Em hospedagem compartilhada, quem reinicia é o provedor; peça que ele confirme.

Quais ambientes estão expostos à CVE-2026-109619?

O boletim do PHP abrange todas as instalações do PHP que atendem requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed, e considera o mod_php o de maior risco. Usar Nginx ou PHP-FPM não isenta ninguém. O uso apenas pela linha de comando não entra no alerta, mas atualize o binário mesmo assim.

Um plugin de modo de manutenção impede a CVE-2026-109619?

Não conte com isso. Uma página de manutenção do WordPress continua passando pelo tratamento de requisições do PHP, e alguns caminhos de ataque acontecem antes de o código da aplicação rodar. Se não puder atualizar, bloqueie o tráfego antes do PHP (no servidor web ou na hospedagem) ou tire o site do ar.

A CVE-2026-109619 já está sendo explorada?

Há relatos de tentativas de ataque, mas nenhuma invasão bem-sucedida foi confirmada. A Cloudflare relatou tráfego de ataque do PHP2Shell contra seus clientes antes de a correção ser lançada. Nenhuma das fontes que consultamos até 22 de outubro de 2026 confirma uma invasão bem-sucedida. Considere exposto qualquer PHP sem correção acessível pela internet e atualize.

Como verifico se meu site é afetado pela CVE-2026-109619?

Informe a versão do PHP e a configuração do seu site no verificador de versão do PHP, ou veja a visão geral no verificador PHP2Shell. A falha irmã é a CVE-2026-109618.

Quais fontes embasam esta página?

• Boletim do GitHub GHSA-6wmf-4rv5-p3rp
• The PHP Group: boletim de segurança
• Wiz Research: pesquisa original
• Canonical: página da CVE no Ubuntu
• Cloudflare: proteções do WAF