PHP corrige duas vulnerabilidades críticas de RCE não autenticada; atualizar é a única correção completa

O PHP lançou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para corrigir CVE-2026-109618 e CVE-2026-109619, duas vulnerabilidades que podem permitir execução remota de código sem autenticação. O aviso abrange instalações PHP que atendem requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. Por que importa: As fontes capturadas do PHP e da CSA não dizem como as vulnerabilidades foram descobertas; trate isto como uma tarefa de correção e inventário de dependências. O PHP diz que atualizar é a única solução completa. As medidas provisórias reduzem a exposição a caminhos específicos, mas não tornam uma instalação segura. A CSA de Singapura recomenda identificar onde o PHP roda, inclusive dentro de aplicações ou componentes de terceiros, e priorizar sistemas expostos à internet.