Vulnerabilidades críticas no PHP (CVE-2026-109618 e CVE-2026-109619): como proteger os seus servidores Bare Metal e VPS
A 21 de outubro de 2026, o projeto PHP publicou correções importantes para duas vulnerabilidades críticas. Se o PHP está a ser executado num dos seus servidores dedicados Bare Metal ou VPS, saiba como verificar a sua exposição e proteger-se, passo a passo.
Este artigo destina-se aos nossos clientes de servidores dedicados e VPS. Os clientes Web Cloud e de alojamento partilhado beneficiarão automaticamente de um componente PHP atualizado.
O essencial num relance
| Detalhes | Elemento |
|---|---|
| CVE-2026-109618 e CVE-2026-109619 | As vulnerabilidades |
| Controlo remoto do seu servidor, sem credenciais | O risco |
| Crítica (CVSS 9,2 em 10) | Gravidade |
| Todas as versões do PHP anteriores ao PHP 7.4 | Versões vulneráveis |
| 8.2.35, 8.3.36, 8.4.27 e 8.5.12 | Versões corrigidas |
| Atualizar o PHP sem demora e, em seguida, reiniciar os seus serviços PHP | A nossa recomendação |
O que está a acontecer, explicado de forma simples
As duas vulnerabilidades afetam o núcleo do PHP, e não um CMS ou framework em particular. Dizem respeito à forma como o PHP gere a memória entre dois pedidos:
- CVE-2026-109618: um pedido deliberadamente demasiado pesado (o envio de um formulário, por exemplo) leva o PHP a esgotar a memória e a deixar dados num estado incoerente.
- CVE-2026-109619: informações de um pedido anterior permanecem em memória quando deveriam ser apagadas e são reutilizadas pelo pedido seguinte.
Em ambos os casos, um atacante pode executar o seu próprio código no seu servidor, com os privilégios do seu servidor web. Não precisa de conta nem de palavra-passe: basta uma ligação ao seu site. Os investigadores demonstraram a exploração, nomeadamente com Apache (mod_php) e PHP-FPM, as duas configurações mais comuns.
Está afetado? Verifique em dois minutos
Está afetado sobretudo se o PHP serve um site ou uma aplicação num dos seus servidores Bare Metal (Kimsufi, So you Start, Rise, Advance, Scale, High Grade) ou num VPS da OVHcloud.
Ligue-se por SSH e escreva:
php -v
Compare o resultado com esta tabela:
| A sua versão | O que deve fazer |
|---|---|
| 8.5.x | Atualizar para 8.5.12 |
| 8.4.x | Atualizar para 8.4.27 |
| 8.3.x | Atualizar para 8.3.36 |
| 8.2.x | Atualizar para 8.2.35 |
| Da 8.1.x até à 7.4 | Atualizar para as versões CVE-2026-109618-109619. Tenha em conta que é necessária uma recompilação para as versões 7.4, 8.0 e 8.1 |
| Inferior a 7.4 | O projeto PHP não publicará nenhuma correção: recomendamos que planeie uma migração para uma versão suportada (paralelamente, as nossas equipas estão a estudar outras opções) |
Bom saber: a versão apresentada na linha de comandos pode ser diferente da utilizada pelo seu site, sobretudo se estiverem instaladas várias versões do PHP. Em caso de dúvida, verifique também a versão na configuração do seu servidor web ou do seu painel de administração (Plesk, cPanel…).
Atualizar passo a passo
A atualização não deverá demorar mais de uns quinze minutos por servidor. Recomendamos que comece pelos servidores acessíveis a partir da Internet.
Faça uma cópia de segurança. Num VPS, basta um snapshot a partir da Área de Cliente OVHcloud. Num servidor Bare Metal, guarde no mínimo os seus ficheiros de configuração e os seus dados.
Atualize os pacotes PHP com o gestor de pacotes da sua distribuição:
- Debian / Ubuntu:
sudo apt update && sudo apt upgrade - AlmaLinux / Rocky Linux:
sudo dnf upgrade - PHP compilado a partir do código-fonte: descarregue a versão corrigida em php.net
- Contentores Docker: reconstrua as suas imagens a partir de uma imagem PHP atualizada e volte a implementá-las
Reinicie os seus serviços PHP. É o passo mais esquecido: sem reinício, a versão antiga continua a ser executada em memória.
- PHP-FPM:
sudo systemctl restart php8.x-fpm(Debian/Ubuntu, substituindo x pela sua versão) ousudo systemctl restart php-fpm - Apache:
sudo systemctl restart apache2ousudo systemctl restart httpd
Verifique com php -v se a versão corrigida está ativa e se o seu site funciona normalmente.
Se a sua distribuição ainda não disponibiliza a versão corrigida, volte a verificar regularmente: alguns repositórios publicam as atualizações com algumas horas de atraso. Entretanto, aplique as medidas temporárias abaixo.
Não pode atualizar de imediato?
O projeto PHP é claro: só a atualização protege totalmente o seu servidor. As definições seguintes, retiradas dos avisos oficiais, reduzem o risco entretanto. Devem ser colocadas no seu php.ini e exigem depois um reinício do PHP-FPM ou do Apache.
- Desative o acompanhamento do progresso dos envios de ficheiros:
session.upload_progress.enabled = 0. Esta função raramente é utilizada, e o PHP recomenda mantê-la desativada mesmo após a atualização. - Apenas no PHP 8.5:
fatal_error_backtraces = 0. - Se a sua aplicação não utiliza formulários com envio de ficheiros, bloqueie este tipo de pedidos (multipart) ao nível do seu servidor web ou do seu proxy.
O PHP menciona também a remoção do limite de memória (memory_limit = -1). Recomendamos que utilize esta opção com prudência: um único pedido poderia então consumir toda a memória do seu servidor.
Ainda utiliza o PHP 8.1 ou anterior? Estas versões não receberão correção. Aplique estas medidas hoje mesmo e planeie o quanto antes uma migração para o PHP 8.4 ou 8.5.
Estamos aqui para ajudar
Num servidor Bare Metal ou num VPS, mantém o controlo total do seu sistema: não intervimos de forma alguma nas suas instâncias sem o seu acordo. É por isso que fazemos questão de lhe dar todas as ferramentas para agir de forma rápida e tranquila.
Da nossa parte, estamos a atualizar as imagens de sistema operativo disponíveis para instalação e a avisar os clientes cujas instâncias parecem expostas. Completaremos este artigo se forem publicadas novas informações.
Tem alguma questão ou dúvida sobre a sua configuração? As nossas equipas de suporte estão ao seu dispor, e os nossos parceiros podem acompanhá-lo na atualização ou na migração das suas versões do PHP.
Para saber mais