Resumo
A equipe de segurança do PHP avisou em 20 de outubro de 2026 que lançará em 21 de outubro, às 14h UTC, uma versão para duas vulnerabilidades críticas, ambas com nota 9,2 no CVSS v4.0. Detalhes, versões afetadas e versões corrigidas só saem com o lançamento. O projeto pede que os usuários se preparem e pode antecipar a data se houver exploração.
PHP avisou em 20 de outubro de 2026 que lançará em 21 de outubro, às 14h UTC, uma versão de segurança para duas falhas críticas, ambas com nota 9,2 na escala CVSS v4.0. Para quem mantém site ou loja em PHP, inclusive em WordPress, a orientação da equipe é se preparar agora para atualizar assim que a versão sair.
Duas falhas com nota 9,2 e detalhes só no lançamento
O aviso da equipe de segurança do PHP foi publicado na página inicial do projeto com o título Upcoming Critical PHP Security Release. O lançamento está marcado para quarta-feira, 21 de outubro de 2026, às 14h no horário UTC, e corrige duas vulnerabilidades classificadas como críticas. As duas recebem a mesma nota, 9,2, no CVSS v4.0.
O texto não traz o nome das falhas, o tipo de ataque nem as versões afetadas. Segundo o aviso, os detalhes completos, a lista de versões vulneráveis e as versões corrigidas só serão publicados junto com o lançamento. Até lá, as únicas informações concretas são a data, o horário e a gravidade, o que deixa administradores sem saber quais ramos do PHP serão atingidos.
“Reservamos o direito de lançar antes caso detalhes de alguma das vulnerabilidades se tornem públicos ou surjam indícios de exploração ativa”, disse a equipe de segurança do PHP no aviso.
Versão de setembro e candidata 8.6 compõem o calendário
A versão marcada para 21 de outubro chega menos de um mês depois do PHP 8.4.26, que a página oficial classifica como versão de segurança e que saiu em 24 de setembro de 2026. Na mesma página, o PHP 8.6.0 RC3, candidata a lançamento destinada a testes e não a produção, foi anunciado em 8 de outubro, com a RC4 prevista para 22 de outubro.
A equipe pede que todos os usuários do PHP se preparem desde já. Como orientação editorial, isso passa por saber qual versão a hospedagem usa, manter um backup recente e reservar um horário para atualizar quando os pacotes corrigidos estiverem disponíveis. O aviso do projeto não detalha procedimentos nem diz se provedores de hospedagem vão atualizar por conta própria.
O que você acha? Você já sabe qual versão do PHP roda no seu site? Para acompanhar mais, acesse nossa editoria de Tecnologia e os vídeos do canal no YouTube.
Perguntas Frequentes
Quando o PHP lança a correção das duas falhas críticas?
PHP marcou a versão de segurança para quarta-feira, 21 de outubro de 2026, às 14h UTC. A equipe avisou em 20 de outubro e se reservou o direito de antecipar o lançamento se os detalhes das falhas se tornarem públicos ou surgirem sinais de exploração ativa. Os pacotes corrigidos serão divulgados junto com a versão.
Qual a gravidade das vulnerabilidades críticas do PHP?
PHP atribuiu nota 9,2 no CVSS v4.0 às duas vulnerabilidades, e o projeto as classifica como críticas. O aviso não informa o tipo de falha, os componentes atingidos nem as versões vulneráveis, e diz que esses dados saem com o lançamento. Uma avaliação de risco mais precisa depende dessa publicação.
Quem usa WordPress precisa atualizar o PHP por causa das falhas?
PHP ainda não divulgou quais versões são afetadas, então não dá para dizer se uma instalação específica de WordPress está vulnerável. O aviso pede que todos os usuários se preparem para atualizar quando a versão sair. Administradores devem consultar a hospedagem sobre a versão em uso e acompanhar o anúncio oficial.