CISA inclui duas falhas PHP com execução remota no catálogo de vulnerabilidades exploradas

A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) adicionou ao catálogo de Vulnerabilidades Conhecidas e Exploradas duas falhas críticas no PHP: CVE-2026-109618 e CVE-2026-109619. Ambas permitem execução remota de código sem autenticação, segundo os registros oficiais publicados em 26 de outubro.

A CVE-2026-109618 envolve corrupção de memória em condição de falta de memória. A CVE-2026-109619 decorre da reutilização indevida de estado interno de requisição. Como o PHP é um componente amplamente incorporado a aplicações, serviços e produtos de terceiros, o alcance potencial vai além de instalações administradas diretamente pelas equipes de desenvolvimento.

A CISA determinou prazo de 29 de outubro para os órgãos federais abrangidos aplicarem as correções ou mitigações do fornecedor, avaliarem a exposição dos ativos à internet e cumprirem os requisitos de triagem forense. Para outras organizações, a inclusão no KEV é evidência de exploração ativa e justifica tratamento emergencial: inventariar versões, priorizar sistemas expostos, aplicar as atualizações indicadas pelo PHP e investigar sinais de comprometimento.

O catálogo não atribui as falhas a campanhas conhecidas de ransomware até o momento, mas exige triagem forense para as duas entradas. Equipes que não consigam mitigar imediatamente devem reduzir a exposição dos serviços afetados e considerar a interrupção temporária do componente vulnerável.