CISA adiciona duas vulnerabilidades do PHP ao catálogo de falhas exploradas
CVE-2026-109618 e CVE-2026-109619 entram no catálogo KEV, e o alerta sobre PHP foi atualizado, segundo a agência americana
Publicado em
A CISA incluiu duas vulnerabilidades do PHP, CVE-2026-109618 e CVE-2026-109619, no catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). O alerta "Critical Vulnerabilities in PHP Require Immediate Patching" também foi atualizado.
O que aconteceu
De acordo com o aviso publicado em 26 de outubro de 2026, a agência de cibersegurança dos Estados Unidos (CISA) adicionou duas novas vulnerabilidades ao catálogo KEV e atualizou o alerta dedicado ao PHP, intitulado "Critical Vulnerabilities in PHP Require Immediate Patching".
As falhas incluídas são a CVE-2026-109618, descrita como vulnerabilidade de corrupção de memória no PHP, e a CVE-2026-109619, descrita como vulnerabilidade de estado interno de requisição obsoleto ("stale internal request-state") no PHP.
Segundo a CISA, esse tipo de falha é um vetor de ataque frequente para agentes maliciosos e representa riscos significativos para o governo federal americano.
Principais novidades
- Duas novas entradas no catálogo KEV:
CVE-2026-109618(corrupção de memória) eCVE-2026-109619(estado interno de requisição obsoleto). - O alerta sobre PHP que exige correção imediata foi atualizado.
- A CISA afirma que continuará adicionando ao catálogo vulnerabilidades que atendam aos critérios definidos.
- O aviso lembra que inclusões no KEV exigem ID CVE, evidência de exploração e orientação clara de mitigação.
Contexto técnico
O aviso menciona a Binding Operational Directive (BOD) 26-04, "Prioritizing Security Updates Based on Risk", que define requisitos de gestão de vulnerabilidades para agências do Poder Executivo civil federal dos EUA (FCEB). Segundo a CISA, a diretiva reforça a importância do catálogo KEV e exige que as agências priorizem a correção rápida de vulnerabilidades de alto risco: aquelas com CVE listado no KEV, em ativos expostos publicamente, que concedam controle total do ativo após a exploração. Falhas de menor risco podem ter a ação adiada.
A BOD 26-04 também estabelece expectativas básicas sobre quando as agências devem verificar se agentes de ameaça comprometeram o sistema antes da aplicação do patch.
Impacto
A diretiva vale apenas para agências FCEB, mas a CISA incentiva todas as organizações a adotarem gestão de vulnerabilidades baseada em risco e a priorizarem a correção das falhas do catálogo KEV. Na prática, quem opera sistemas com PHP tem na inclusão das duas CVEs um sinal da agência para dar atenção à correção.