#PRR #NextGenerationEU #construirOFuturo #resiliencia #transicaodigital #transicaoclimatica #somosprr
Foram identificadas duas vulnerabilidades críticas de execução remota de código no PHP, corrigidas na release de emergência de 21 de outubro de 2026, ambas com CVSS v4.0 de 9.2/10 [1]. As vulnerabilidades são:
- CVE-2026-109618: o tratamento de situações de falta de memória pode interromper o PHP quando os dados internos do pedido estão apenas parcialmente inicializados, podendo esses dados ser tratados como válidos na limpeza subsequente [1][2];
- CVE-2026-109619: estado interno associado a um pedido pode subsistir depois de a memória que o suporta ter sido libertada, e ser utilizado por um pedido posterior tratado pelo mesmo worker [1][3].
São afetadas todas as instalações que servem pedidos web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. A equipa de segurança do PHP identifica o mod_php como o cenário de maior risco, tendo validado a execução de código contra essa configuração com os limites de memória e de input predefinidos [1][2].
São afetadas as seguintes versões [1]:
• PHP 8.5: versões anteriores à 8.5.12
• PHP 8.4: versões anteriores à 8.4.27
• PHP 8.3: versões anteriores à 8.3.36
• PHP 8.2: versões anteriores à 8.2.35
• PHP 8.1 e anteriores: todas as versões
Fonte: https://dyn.cncs.gov.pt/pt/alertas
