A equipe de segurança do PHP publicou em 20 de outubro de 2026 um aviso antecipado: uma atualização de segurança crítica está agendada para esta quarta-feira, 21 de outubro de 2026, às 14h UTC (11h no horário de Brasília). O pacote corrige duas vulnerabilidades críticas, ambas com pontuação CVSS v4.0 9.2.
O comunicado pede que todos os usuários de PHP se preparem desde já para atualizar assim que as novas versões forem publicadas. A equipe também avisa que pode antecipar o lançamento caso detalhes das falhas se tornem públicos ou surjam evidências de exploração ativa.
O que se sabe até agora
Por enquanto, o PHP não divulgou os identificadores CVE, os detalhes técnicos nem as versões afetadas. Essas informações serão publicadas junto com o lançamento das correções. O que já está confirmado é a gravidade: duas falhas com nota 9.2 em 10, faixa considerada crítica.
Por que você deve atualizar o mais rápido possível
O PHP está por trás de uma parcela enorme da web, incluindo WordPress, Laravel, Magento, Drupal e inúmeros sistemas internos. Uma falha crítica no próprio interpretador atinge todas essas aplicações de uma vez, independentemente de quão bem o código delas tenha sido escrito.
Além disso, assim que uma correção é publicada, as alterações no código-fonte ficam visíveis para qualquer pessoa. Atacantes costumam usar essas diferenças para entender a falha e desenvolver exploits em poucas horas ou dias. Cada dia entre a publicação da correção e a atualização do seu servidor é uma janela de exposição.
E quem ainda roda PHP 7.x?
Aqui está o ponto mais preocupante. Hoje, apenas as ramificações abaixo recebem correções de segurança oficiais:
| Ramificação | Suporte de segurança até |
|---|---|
| 8.2 | 31/12/2026 |
| 8.3 | 31/12/2027 |
| 8.4 | 31/12/2028 |
| 8.5 | 31/12/2029 |
PHP 7.x, 8.0 e 8.1 já chegaram ao fim de vida. Se essas versões estiverem entre as afetadas, não haverá correção oficial para elas. Muitos sites WordPress ainda rodam em PHP 7.4 por causa de temas e plugins antigos, e esses ambientes podem ficar expostos sem nenhuma correção disponível. Quem está no PHP 8.2 também deve se planejar: o suporte de segurança dessa versão termina em pouco mais de dois meses.
Recomendações de segurança
- Inventariar as versões de PHP em uso em servidores, contêineres e hospedagens. No WordPress, a informação aparece em Ferramentas > Saúde do site > Informações.
- Reservar uma janela de manutenção a partir de 21 de outubro, 14h UTC, para aplicar as atualizações.
- Acompanhar os pacotes da sua distribuição (Debian, Ubuntu, Red Hat e outras) e as imagens Docker oficiais, que podem trazer a correção via backport.
- Em hospedagens gerenciadas, confirmar com o provedor quando a atualização será aplicada.
- Se você ainda usa PHP 7.x, 8.0 ou 8.1, começar agora a testar a migração para uma versão suportada.
Referências
Conclusão: duas vulnerabilidades críticas no PHP exigem atenção imediata de qualquer equipe que mantenha aplicações PHP em produção. Atualize assim que as novas versões forem publicadas. E, se o seu ambiente ainda roda uma versão fora de suporte, este é o momento de tratar a migração como prioridade de segurança, e não apenas como manutenção.
