Lançamento de segurança do PHP de hoje e como estamos fortalecendo a segurança do PHP

Lançamento de segurança do PHP de hoje e como estamos fortalecendo a segurança do PHP (via) Se você estiver executando algo em PHP, é vital que você atualize – as atualizações de hoje (em toda a linha PHP 8.x) abordam duas falhas de execução remota de código, e houve explorações circulando desde a noite passada, graças a um vazamento no processo de divulgação coordenado.

Esta postagem da PHP Foundation explica o que deu errado:

Na terça-feira, 20 de outubro, por volta das 15h UTC, os dois IDs CVE começaram a circular em fóruns online e redes sociais. Eles vieram com um tempo de lançamento errado e uma pontuação CVSS errada de 10,0 (a pontuação real é 9,2). Nenhum detalhe técnico vazou. Em resposta, o projeto PHP antecipou seu pré-anúncio e o publicou às 19h30 UTC. Também mudou o lançamento de 22 de outubro, 14h UTC, para 21 de outubro, 14h UTC (…)

Como resultado do vazamento e do pré-anúncio, por volta das 20h UTC, na Califórnia, uma das empresas de segurança que relatou os problemas publicou um vídeo por engano. Ele mostrou sua prova de conceito funcionando contra vários alvos e revelou alguns detalhes adicionais, embora limitados, sobre as vulnerabilidades. Cópias do vídeo excluído começaram a circular nas redes sociais logo depois. O vídeo contribuiu para o desenvolvimento acelerado de vários PoCs (prova de exploração de conceitos), que aumentaram a circulação em 21 de outubro.

Este artigo da equipe que descobriu a vulnerabilidade original inclui um cronograma mais detalhado da divulgação responsável original pretendida:

• 19 de agosto de 2026: Wiz Research descobre a primeira vulnerabilidade de PHP usando Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol.
• 20 de agosto de 2026: RCE não autenticado é confirmado contra Drupal.
• 21 de agosto de 2026: RCE não autenticado é confirmado no WordPress.
• 24 de agosto de 2026: Wiz Research relata as vulnerabilidades à equipe de segurança do PHP.
• 21 de setembro de 2026: PHP reconhece os relatórios e começa a desenvolver uma correção coordenada.
• 21 de outubro de 2026: Versões de PHP corrigidas ficam disponíveis.
• 21 de outubro de 2026: Divulgação pública.