Nota de 10 em gravidade
As falhas CVE-2026-109618 e CVE-2026-109619 foram classificadas como críticas e permitem a execução remota de comandos no servidor.
Se o seu site, a sua loja virtual ou o sistema da empresa foi feito em PHP, você pode estar correndo um risco grave. Foi descoberta uma falha que atinge sites e sistemas construídos em PHP. Para explorá-la, o invasor não precisa de login nem de senha.
Conversa direta no WhatsApp, em português claro, sem compromisso.
As falhas CVE-2026-109618 e CVE-2026-109619 foram classificadas como críticas e permitem a execução remota de comandos no servidor.
O ataque acontece antes do seu sistema entrar em ação. Ter login forte não resolve: a falha está no próprio PHP.
Informações técnicas circularam horas antes da correção oficial, publicada em 21/10/2026.
“Isso não é um exercício.”Lukasz Olejnik, pesquisador de segurança, à Wired. A revista abriu a matéria dizendo que as falhas estão colocando a internet pegando fogo.
Número do mapeamento do VirusTotal. WordPress, Laravel e Nextcloud estão entre os mais comuns.
Por isso muita gente nem sabe se está na lista. Esconder a versão não protege.
PHP 5 até 8.1 também são afetados e não recebem mais atualização oficial. Só 8.2.35, 8.3.36, 8.4.27 e 8.5.12 trazem o conserto.
Marcou qualquer uma? Vale uma conversa hoje.
É mais comum do que parece. O sistema funciona, ninguém quer mexer, e o PHP ficou parado no 7.4, no 7.2, às vezes no 5.6. Só que versão antiga não recebe correção, e agora isso deixou de ser detalhe técnico e virou risco para o negócio. É exatamente o tipo de problema que a gente resolve.
Ajustamos o código, testamos numa cópia e levamos o seu sistema para uma versão do PHP que ainda recebe correções.
Quando não dá para mexer agora, isolamos o sistema e colocamos camadas de proteção para reduzir a exposição até a migração acontecer.
Às vezes o legado não tem mais conserto. A gente fala isso com franqueza e planeja a reescrita por etapas, sem parar a sua operação.
Cada caso é um caso. Você não precisa entender de servidor: a gente analisa, explica em português, faz o que for preciso e deixa o seu sistema o mais seguro possível.
Não necessariamente. A falha acontece quando o PHP processa o pedido, antes de qualquer código do seu sistema rodar. Regras de proteção na borda, como as que a Cloudflare liberou em caráter emergencial, ajudam a barrar ataques já conhecidos, mas a correção de verdade é atualizar o PHP.
Circulou a dica de desativar o session.upload_progress. Testes independentes da Datadog indicam que isso não protege. Serve, no máximo, como paliativo. Só a atualização resolve.
Algumas atualizam, outras não, e quem está em PHP 8.1 ou anterior não tem correção oficial para receber. A gente confere a sua versão e o que a sua hospedagem já fez.
Por isso a gente testa numa cópia antes e planeja a troca. Se o sistema não aguentar a nova versão, existem alternativas para proteger enquanto ele é modernizado.
Depende do tamanho e do estado do seu sistema. Chama no WhatsApp, conta o seu caso e a gente apresenta um caminho claro.
Conte o que a sua empresa usa e a gente responde pelo WhatsApp. Quem tem PHP antigo ou sistema legado travado é bem-vindo: esse é o nosso tipo de caso.