Amazon detecta tentativa de explorar falhas do PHP quatro dias antes dos patches

21 de outubro de 2026 · 4 fontes independentes

PHP programou uma atualização emergencial para duas vulnerabilidades críticas em 21 de outubro, às 14h UTC (11h de Brasília).

A atualização é o acontecimento central e tem horário definido para a divulgação das correções.

A equipe de segurança do PHP atribuiu às duas vulnerabilidades nota 9,2 no CVSS v4.0.

A classificação informa a gravidade atribuída oficialmente pelo projeto, distinta da nota divulgada em um vazamento.

Relatos externos ao aviso inicial do PHP dizem que as falhas permitem execução remota de código.

A capacidade de execução remota foi atribuída a pesquisadores e reportagens, não aos detalhes técnicos publicados pelo PHP.

O aviso inicial do PHP não divulgou os detalhes técnicos nem as versões afetadas; a publicação integral foi prevista junto com as atualizações.

Sem essas informações, usuários ainda não podiam confirmar o impacto específico nem quais versões seriam corrigidas.

A PHP lançou correções para as duas falhas nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

As versões corrigidas permitem que administradores identifiquem quais atualizações instalar para fechar as vulnerabilidades.

Confirmado por

  • InfoQ
  • Security Affairs
  • Simon Willison's Weblog
  • The Hacker News
Ler no O agêntico