Crítica 9,2Exploração ativa
2 vulnerabilidades em PHP
- Gravidade
- Crítica
- CVSS 9,2 (v4.0)
- Exploração ativa
- Confirmada
- catálogo KEV da CISA desde 26 out 2026
- Chance de exploração
- 100,0%
- EPSS, próximos 30 dias
- Fontes
- 2
- 1 oficial
Resumo
Foram divulgadas 2 vulnerabilidades em PHP; a principal é do tipo uso de memória após liberação (use-after-free). A gravidade é crítica, com nota CVSS 9,2.
Há evidência de exploração ativa: a agência americana CISA incluiu a falha no catálogo KEV em 26 out 2026.
O modelo EPSS estima 100,0% de chance de exploração nos próximos 30 dias.
Versões afetadas
- PHP: 8.2.* até antes de 8.2.35
- PHP: 8.3.* até antes de 8.3.36
- PHP: 8.4.* até antes de 8.4.27
- PHP: 8.5.* até antes de 8.5.12
Segundo o registro oficial do CVE. Confira a versão exata com o fabricante.
O que fazer
- Verifique se a sua empresa usa PHP e em qual versão.
- Aplique a atualização de segurança do fabricante (veja as referências abaixo).
- Se não der para atualizar agora, reduza a exposição, por exemplo restringindo o acesso pela internet. Isso não substitui a correção.
- Como a falha já está sendo explorada, procure sinais de comprometimento nos sistemas que ficaram expostos.
Linha do tempo das fontes
- The Hacker Newsimprensa PHP2Shell Exploitation Attempts Continue Amid Suspected N. Korea Global Scanning Activity
- CISA KEVoficial 2 falhas incluídas no catálogo KEV: exploração ativa confirmada
- The Hacker Newsimprensa CISA Confirms Active Exploitation of Two PHP2Shell Flaws Enabling Remote Code Execution
Descrição oficial CVE.org, em inglês
PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. Some contexts may not properly account for this scenario and leave request memory in an uninitialized state before performing an allocation. The subsequent request cleanup procedure may read or branch on this memory. Multiple OOM strategies can consistently trigger this condition and lead to remote code execution (RCE).
Referências
Este alerta reúne informação pública de fontes oficiais e da imprensa especializada, revisada pela equipe InfocuestaSec antes de publicar. Ele não substitui o comunicado do fabricante. Não publicamos códigos de exploração.