Forum

Pedro e equipe, poderiam disponibilizar uma atualização de segurança do PHP compatível com o MK-AUTH e orientar os usuários sobre a aplicação?

Em 21/10/2026, o projeto PHP publicou um alerta sobre duas vulnerabilidades críticas:

• CVE-2026-109618: corrupção de memória no tratamento de falta de memória.
• CVE-2026-109619: reutilização indevida de estado interno entre requisições.

As falhas podem permitir execução remota de código sem autenticação, conforme as condições do ambiente. O aviso inclui PHP-FPM e Apache com mod_php; utilizar Nginx como proxy reverso não substitui a correção.

As primeiras versões corrigidas são 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Para versões antigas, é necessário confirmar a disponibilidade de correções adaptadas pelo fornecedor.

Nas instalações que verificamos, encontramos PHP 8.0.30 próprio do MK-AUTH, compilado em 2024, além de PHP 7.3.31 em execução. Por isso, atualizar apenas os pacotes do sistema operacional pode não alcançar todos os ambientes PHP utilizados.

Solicitamos, com urgência:

1. Confirmação das versões do MK-AUTH afetadas.
2. Atualização oficial compatível com o sistema e seus componentes.
3. Procedimento de instalação, validação e reinicialização dos processos necessários.
4. Orientações temporárias de proteção enquanto a atualização não estiver disponível.

A preocupação é o possível comprometimento de dados de clientes, cobranças e credenciais acessíveis pelo servidor. Não estamos relatando uma invasão confirmada, mas uma exposição que precisa ser tratada preventivamente.

Referência oficial: Alerta de segurança do projeto PHP.

Os avisos oficiais do projeto PHP estão nestes links:

• CVE-2026-109618: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
• CVE-2026-109619: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

Comunicado no PHP.net: https://www.php.net/archive/2026.php