21/10/2026
PHP vulnerabilidade crítica não é assunto de infra. É assunto de quem depende do site para publicar. ⚠️
A equipe de segurança do PHP anunciou correções emergenciais para duas falhas de execução remota de código: CVE-2026-109618 e CVE-2026-109619. Nota 9,2 no CVSS 4.0 segundo o próprio PHP (a watchTowr fala em 10,0). As versões afetadas ainda não foram confirmadas pelo PHP; a watchTowr aponta de 5 a 8. A liberação dos patches foi antecipada para 21/10, 14h UTC (11h de Brasília), porque informações vazaram antes da divulgação.
Tradução para quem gerencia WordPress em escala: o WordPress roda sobre PHP. Falha no interpretador é falha em todo o stack, independente de tema, plugin ou CDN na frente. RCE em servidor exposto é acesso ao que está por trás do site. Até agora não há exploração ativa observada, mas a janela entre patch público e exploit costuma ser curta.
Três perguntas para hoje: qual versão de PHP cada ambiente seu está rodando (painel da hospedagem ou WP Site Health respondem em um minuto)? Quem aplica a atualização, você ou a hospedagem? E alguém testa em staging antes de subir? Depender da hospedagem atualizar sozinha é terceirizar a decisão sem terceirizar o risco. 🔎
Aqui na Apiki, o fluxo no WP Care e no WP Host é o mesmo de sempre: acompanhamos a lista ANNOUNCE e o php.net, testamos a versão corrigida em staging, atualizamos de forma coordenada e comunicamos o cliente. Monitoramos. Testamos. Atualizamos. Avisamos.
Comenta aí qual versão de PHP sua operação roda hoje, e compartilha com quem cuida do site. Se quiser uma leitura técnica do seu ambiente antes do patch, fale com a gente. 💬
Acompanhe o alerta do PHP sobre duas falhas críticas de RCE, o vazamento antecipado de informações e a previsão de correções emergenciais.