Fundação PHP admite atraso para corrigir falha conhecida desde 2024

A Fundação PHP afirmou nesta quarta-feira, 21, que uma das falhas de segurança recentemente corrigidas era conhecida por desenvolvedores desde 2024. A entidade atribuiu a demora na solução a entraves nas decisões técnicas e à falta de profissionais dedicados ao projeto, e classificou o episódio como uma falha estrutural de governança.

As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619 e conhecidas em conjunto como “PHP2Shell”, afetam componentes centrais da linguagem de programação PHP: a gestão de memória e o tratamento de erros. Segundo a descrição das falhas, invasores poderiam executar código remotamente em servidores vulneráveis sem precisar de senha ou autenticação.

A CVE-2026-109618 está relacionada a situações em que uma requisição alcança o limite de memória definido pelo sistema. Nesse cenário, dados internos poderiam permanecer parcialmente inicializados e ser tratados como válidos, levando à corrupção da memória. A outra falha, CVE-2026-109619, podia ocorrer depois de um erro fatal, quando o estado global do programa continuava apontando para áreas de memória já liberadas.

A Fundação PHP disse que o reparo se arrastou por meses em meio a discussões sobre incompatibilidades técnicas e sobre o risco de introduzir novos problemas. A organização reconheceu que o processo decisório da equipe de segurança e a escassez de recursos contribuíram para o atraso. Auditorias apoiadas por inteligência artificial e relatórios de empresas de segurança ampliaram a investigação e levaram a entidade a priorizar mudanças na equipe e a acelerar a aprovação de correções.

A divulgação das correções também foi precedida por uma quebra do sigilo previsto para o lançamento. Na terça-feira, 20, códigos de identificação das falhas começaram a circular na internet, e uma demonstração prática de invasão foi publicada horas depois. A distribuidora de imagens de contêiner Chainguard disponibilizou versões corrigidas antes do fim do prazo acordado, permitindo que terceiros examinassem os arquivos antes da divulgação planejada.

O episódio gerou críticas de profissionais de tecnologia em fóruns on-line. Um administrador de sistemas relatou que precisou desligar servidores da empresa às pressas e criticou também o contato de afiliados da Chainguard oferecendo serviços de segurança. Em uma publicação, ele afirmou que a empresa não voltaria a contratar a distribuidora.

A Fundação PHP pediu apoio financeiro mais estruturado para sustentar a segurança da linguagem. O PHP é um projeto de código aberto, usado para desenvolver e executar aplicações e sites; sua manutenção depende de colaboradores e de recursos que ajudem a financiar o trabalho. A entidade afirmou que o caso reforça a necessidade de ampliar esse apoio para que problemas de segurança possam ser tratados com mais rapidez.

Como as falhas atingem o núcleo do PHP, a exposição não se limita a um tipo específico de site: servidores que executem versões vulneráveis podem colocar em risco páginas, lojas virtuais e portais corporativos. Administradores devem aplicar as correções disponibilizadas para as versões que utilizam e verificar se os sistemas foram atualizados.