Segurança do PHP
Atualizações de vulnerabilidades e correções de segurança no PHP.
Outubro de 2026
CVE-2026-109619
O PHP contém diversos estados globais, como estados de erro, sessão, objetos e extensões, que são mantidos por um processo de execução (*worker*), mas apontam para áreas de memória pertencentes a uma única requisição. Esses estados devem ser redefinidos antes que a memória da requisição seja liberada. Algumas operações de entrada de dados, configuração, gerenciamento de sessões e tratamento de erros são executadas antes da inicialização normal da próxima requisição. Essas operações acabam acessando estados obsoletos que não foram redefinidos pela requisição anterior, antes que a inicialização tenha a oportunidade de substituí-los, causando um uso após a liberação da memória (*use-after-free*). Uma organização estrategicamente elaborada do *heap* pode permitir a execução remota completa de código (RCE).
CVE-2026-109618
O PHP utiliza longjmp() para tratar erros de falta de memória (*out-of-memory*, OOM), sair do contexto atual e interromper o processamento da requisição. Em determinados contextos, a memória da requisição pode ser acessada temporariamente antes de ser totalmente inicializada. Se uma alocação de memória falhar nesse momento, o PHP não trata adequadamente a saída antecipada e deixa a memória da requisição em um estado inválido. A alocação que falhou não precisa estar relacionada à memória inválida. Em seguida, o procedimento de encerramento da requisição pode ler essa memória ou usá-la em uma decisão condicional. Diferentes estratégias para provocar erros de falta de memória podem acionar essa condição de forma consistente e levar à execução remota de código (RCE).