Os mantenedores do PHP lançaram correções emergenciais para CVE-2026-109618 e CVE-2026-109619. As duas vulnerabilidades receberam nota de gravidade 9,2 em uma escala de 10. Instalações que atendem solicitações da web podem estar expostas, inclusive versões antigas ainda presentes em muitos servidores. Pesquisadores alertam para a possibilidade de execução remota de código ou leitura da memória de processos. Essa memória pode conter senhas, tokens de acesso e outras credenciais. Houve relatos de tentativas iniciais de ataque antes da divulgação de todos os detalhes.
Para quem administra um site, o passo útil é descobrir qual versão do PHP realmente roda no servidor, consultar o alerta e aplicar a correção apropriada. Atualizar o WordPress ou outro aplicativo não atualiza automaticamente o PHP por baixo dele. O suporte oficial cobre versões a partir da linha 8.2; instalações anteriores dependem de fornecedores ou precisam de um plano de migração. Caso a atualização rápida seja impossível, a orientação é isolar temporariamente o serviço exposto. A ameaça é séria, mas a presença de uma versão vulnerável não significa que todos os sites já tenham sido invadidos.