CVEs de outubro de 2026: o que muda para quem roda PHP e Node.js
Em 21/10/2026, PHP e Node.js corrigiram falhas graves; em 14/10, Next.js e React receberam avisos críticos. Veja as versões afetadas, como conferir a sua e como corrigir.
Por 
Na mesma semana de outubro, os dois motores mais comuns da web publicaram correções de segurança importantes. Em 21 de outubro de 2026, o projeto PHP lançou versões que corrigem duas falhas críticas de execução remota de código, e o Node.js publicou atualizações para todas as linhas suportadas, com quatro falhas de severidade alta. Uma semana antes, em 14 de outubro de 2026, Next.js e React Server Components receberam avisos críticos.
Resumo em 30 segundos
O que aconteceu: em 21/10/2026 o PHP corrigiu as falhas críticas CVE-2026-109618 e CVE-2026-109619, que permitem execução remota de código, e o Node.js corrigiu quatro falhas de severidade alta, entre elas a CVE-2026-111497, no decodificador Brotli.
Quem é afetado: todo PHP anterior a 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 que atende requisições web, e todo Node.js 22, 24 ou 26 anterior a 22.23.4, 24.22.1 ou 26.12.1. Next.js até 15.5.27 e de 16.0.0 a 16.4.0 também tem avisos críticos desde 14/10/2026.
Como corrigir: atualizar para as versões corrigidas, reiniciar os serviços e reconstruir containers. As mitigações oficiais só reduzem o risco enquanto a atualização não sai.
Situação: a CISA pediu correção imediata em 21/10/2026. Até 23/10/2026, nenhuma das falhas do PHP estava no catálogo de exploração confirmada (KEV) da CISA, mas a empresa de segurança watchTowr relata tentativas de exploração.
Se o seu site, loja ou sistema roda em PHP (WordPress, Laravel, Magento e boa parte das hospedagens) ou em Node.js (Next.js, APIs, painéis), este texto é para você. Explicamos o que aconteceu em linguagem simples, mostramos como conferir as versões e o que fazer agora.
Quais são as CVEs críticas de outubro de 2026 no PHP e no Node.js?
As CVEs mais graves de outubro de 2026 são a CVE-2026-109618 e a CVE-2026-109619, no núcleo do PHP, seguidas pelos avisos críticos de Next.js e React Server Components e pelas quatro falhas de severidade alta do Node.js. A tabela resume identificador, severidade, versões afetadas e versões corrigidas.
Identificador | Componente | Severidade | Versões afetadas | Corrigido em |
|---|---|---|---|---|
| PHP (núcleo): falha no tratamento de falta de memória | Crítica |
|
|
| PHP (núcleo): estado global reaproveitado entre requisições | Crítica | Mesmas da linha acima |
|
| Node.js: decodificador Brotli (compressão) | Alta (Node.js) |
|
|
| Node.js: verificação de hostname no TLS | Alta | 106069: |
|
| Node.js: | Alta |
|
|
| Next.js: otimização de imagens com SVG (Linux glibc) | Crítica |
|
|
| Next.js: funções | Crítica |
|
|
| React Server Components ( | Crítica |
|
|
Os três avisos de Next.js e React foram publicados no GitHub com identificador GHSA. Até a data deste texto, as páginas desses avisos não traziam número de CVE.
Por que essas falhas são tão graves?
Elas são graves porque as duas falhas do PHP atingem partes que quase toda requisição usa: a gestão de memória e o tratamento de erros. Segundo o próprio projeto, toda instalação de PHP que atende requisições web está no escopo, seja com PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP ou LiteSpeed. Na configuração com mod_php, o ataque demonstrado funciona com uma única requisição sem login, antes de qualquer código da aplicação rodar. É raro ver algo desse tamanho no núcleo da linguagem.
A CISA, agência de cibersegurança dos EUA, publicou um alerta no mesmo dia pedindo correção imediata. Até 23 de outubro de 2026, as duas CVEs ainda não constavam no catálogo KEV, a lista de falhas com exploração confirmada da CISA. Mesmo assim, a empresa de segurança watchTowr relatou tentativas de exploração. Não é motivo para pânico, mas é motivo para não deixar a atualização para o mês que vem.
O que os projetos disseram no X
Os próprios mantenedores avisaram nas redes. Estes são os posts oficiais, com link para o original:
“The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update.”
“We have posted more information about today's security releases, including the sequence of events that led to the discovery, how the PHP security team is improving their processes, and what we need from you to continue this critical work.”
“Node.js security updates are now available! New releases for Node.js 22.x, 24.x & 26.x address multiple vulnerabilities, including high-severity issues. Review the details and update your systems to stay secure.”
Quais versões do PHP estão vulneráveis em outubro de 2026?
Estão vulneráveis todas as versões do PHP anteriores a 8.2.35, 8.3.36, 8.4.27 e 8.5.12, as versões que corrigem a CVE-2026-109618 e a CVE-2026-109619, lançadas em 21 de outubro de 2026.
O que são a CVE-2026-109618 e a CVE-2026-109619?
A primeira falha (CVE-2026-109618) acontece quando uma requisição esgota o limite de memória do PHP (memory_limit) no pior momento possível. O PHP interrompe o trabalho no meio e, na limpeza, trata como válido um dado que ainda estava pela metade. Um atacante consegue provocar esse esgotamento de propósito, por exemplo com um formulário de upload montado sob medida, e transformar a corrupção de memória em execução de código.
A segunda (CVE-2026-109619) é um use-after-free: uma requisição deixa "rastros" internos apontando para memória que já foi liberada. Uma requisição seguinte, atendida pelo mesmo processo, usa esses rastros antes de o PHP reiniciar o estado. Com a sequência certa, isso também vira execução remota de código.
Quais servidores PHP estão no escopo?
Todas as versões anteriores a 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
Qualquer forma de servir PHP na web: PHP-FPM, Apache com mod_php (o cenário de maior risco segundo o projeto), php-cgi, FrankenPHP e LiteSpeed.
PHP 8.1 e anteriores não recebem versão oficial. O time de segurança do PHP publicou backports mínimos de código-fonte para 7.4, 8.0 e 8.1, e distribuições Linux e fornecedores de suporte estendido receberam as correções antes.
O que um atacante consegue fazer?
Execução remota de código significa que, se a falha for explorada, alguém de fora pode rodar comandos no servidor com as permissões do processo web. Na prática, isso pode levar a vazamento de dados de clientes, alteração do site, instalação de malware ou uso do servidor para outros ataques. A exploração exige certas condições (o NVD classifica a complexidade da segunda falha como alta), mas a superfície é enorme: é o próprio PHP.
Como saber se meu PHP está vulnerável?
Seu PHP está vulnerável se o comando abaixo mostrar uma versão menor que 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 (ou uma linha 8.1 ou anterior).
# versão do PHP de linha de comando
php -v
# versão do PHP-FPM (o nome do binário varia por distro)
php-fpm -v # ou: php-fpm8.3 -v
# o Apache está usando mod_php? (cenário de maior risco)
apachectl -M 2>/dev/null | grep -i php
# configurações citadas nas mitigações
php -i | grep -E "memory_limit|post_max_size|session.upload_progress.enabled"A versão do PHP de linha de comando pode ser diferente da que atende o site. Confira também a versão que o servidor web usa, por exemplo com uma página temporária com phpinfo() acessível só para você. Apague essa página logo depois.
Como corrigir as CVEs do PHP?
A correção é atualizar o PHP para a versão corrigida da sua linha e reiniciar os processos que atendem o site.
Atualize para 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, de preferência pelos pacotes da sua distribuição ou do seu fornecedor (eles receberam as correções com antecedência).
Reinicie o PHP-FPM ou o Apache para os processos carregarem a versão nova.
Em containers, atualize a imagem base para a versão corrigida, reconstrua e publique de novo. Imagem antiga em produção continua vulnerável.
Em hospedagem compartilhada, abra um chamado e peça a confirmação por escrito da versão corrigida.
Quem usa o repositório comunitário
rpms.remirepo.net: o projeto PHP recomenda migrar para os pacotes da distribuição ou compilar a partir do código-fonte, porque esse repositório não teria atualização no dia do lançamento.
# exemplos (confira o nome dos pacotes na sua distro)
sudo apt update && sudo apt upgrade # Debian/Ubuntu
sudo dnf upgrade 'php*' # RHEL/Alma/Rocky/Fedora
sudo systemctl restart php8.3-fpm # ou apache2 / httpdE se eu não puder atualizar o PHP hoje?
O PHP é claro: as medidas abaixo reduzem a exposição, mas não tornam a instalação segura. Use-as só como ponte até a atualização.
Para a CVE-2026-109618: definir
memory_limit=-1de forma que a aplicação não possa sobrescrever (por exemplo,php_admin_valueno pool do FPM). Também ajuda reduzir opost_max_size(8M sem uploads, 32M com uploads) e impor limites de tamanho e de quantidade de campos no proxy ou servidor web.Para a CVE-2026-109619: definir
session.upload_progress.enabled=0nophp.ini, no pool do FPM ou na configuração do servidor e reiniciar todos os workers. No PHP 8.5, definir tambémfatal_error_backtraces=0.A CISA sugere que um WAF pode dar alguma proteção até a correção. Para quem continua em PHP 8.1 ou anterior sem patch, a recomendação da agência é tirar o sistema do ar até corrigir.
Como saber se meu Node.js está vulnerável?
Seu Node.js está vulnerável se node -v mostrar uma versão anterior a 22.23.4, 24.22.1 ou 26.12.1, ou uma linha fora de suporte, segundo a atualização de segurança de 21 de outubro de 2026. Nessa rodada o Node.js corrigiu dez vulnerabilidades nas linhas 22.x, 24.x e 26.x, quatro delas de severidade alta. Versões fora de suporte (EOL) são sempre afetadas e não recebem correção.
O que é a CVE-2026-111497 (Brotli)?
Brotli é um formato de compressão muito usado na web. A falha está no decodificador: um conteúdo comprimido montado sob medida pode escrever fora da área de memória prevista e, segundo o aviso do Node.js, permitir execução remota de código. O risco é maior em serviços que descomprimem dados vindos de fora, como uploads, webhooks, proxies e APIs que aceitam corpo comprimido.
O que são a CVE-2026-106069 e a CVE-2026-105483 (TLS)?
São duas formas de contornar a checagem de que o certificado TLS pertence mesmo ao endereço acessado. Elas aparecem quando o "host" é um IP escrito de forma não canônica, como dígitos fullwidth ou formatos que viram IP de forma "frouxa". Afetam aplicações Node que abrem conexões TLS para endereços que podem ser influenciados por terceiros.
O que é a CVE-2026-105482 (DNS)?
O dns.resolve truncava nomes que contêm o caractere NUL. Isso pode fazer a aplicação resolver um nome diferente do que validou. É relevante para quem resolve nomes recebidos de usuários, como em validações de URL e proteção contra SSRF.
A mesma rodada também trouxe falhas médias e baixas, além de atualizações de dependências: c-ares, OpenSSL (22.x e 24.x), SQLite (22.x), Undici e o bloqueio de certificados intermediários da eMudhra, que foram comprometidos.
Como atualizar o Node.js com segurança?
Para corrigir, instale 22.23.4, 24.22.1 ou 26.12.1, conforme a linha que você usa, e publique de novo tudo que embute o Node.
# versão em uso
node -v
# com nvm
nvm install 22.23.4 && nvm alias default 22.23.4
# em Docker, confira a versão real dentro da imagem que vai para produção
docker run --rm sua-imagem:tag node -vDepois de atualizar o Node, reconstrua e publique de novo imagens de container, funções serverless e executáveis únicos (SEA). Quem usa startup snapshots ou SEA também precisa reconstruí-los por causa da CVE-2026-106074, que fazia valores de crypto.randomUUID() se repetirem entre processos.
Meu site em Next.js ou React precisa de atualização?
Precisa, se usa Next.js de 10.0.0 a 15.5.27 ou de 16.0.0 a 16.4.0: em 14 de outubro de 2026 saíram três avisos críticos para Next.js e React Server Components, todos com CVSS 4.0 de 9,5, corrigidos no Next.js 15.5.28 e 16.4.1.
GHSA-2464-fhr4-w9xw: uma falha de memória em uma biblioteca usada pela otimização de imagens do Next.js pode permitir execução remota de código com arquivos SVG, quando o Next roda em Linux com glibc. Está corrigida no Next.js 15.5.28 e no 16.4.1. O próprio aviso indica como contorno garantir o
sharpna versão 0.35.5 ou superior.GHSA-673q-mjm6-r5xr: afeta apps com App Router e Cache Components que tenham uma função
use cacheretornando vários typed arrays. Está corrigida no 16.4.1, sem contorno conhecido. O aviso recomenda atualizar mesmo que a sua aplicação não tenha funções assim.GHSA-xqc2-xf4c-x3h3: afeta os pacotes
react-server-dom-webpack,-parcele-turbopackem casos raros (respostas com vários typed arrays e um valor controlado pelo atacante). Está corrigida nas versões 19.0.9, 19.1.10, 19.2.9 e 19.3.1. Apps React que não usam servidor não são afetados.
# quais versões estão instaladas no projeto
npm ls next sharp react-server-dom-webpack react-server-dom-turbopack react-server-dom-parcel
# atualização do Next.js (escolha a linha que você usa)
npm install next@16.4.1 # ou next@15.5.28
npm ls sharp # confirme sharp >= 0.35.5Alguns frameworks embutem uma cópia própria dos pacotes do React Server Components. Nesse caso, a correção chega pela atualização do próprio framework. Siga sempre o aviso oficial do framework que você usa.
Checklist: como corrigir as CVEs de outubro passo a passo
Liste todos os servidores, containers e hospedagens que rodam PHP ou Node, incluindo sistemas antigos e ambientes de teste expostos na internet.
Anote as versões:
php -v,php-fpm -v,node -venpm ls next sharp.Comece pelo que está exposto na internet e, no PHP, pelo que usa Apache com mod_php.
Atualize: PHP 8.2.35/8.3.36/8.4.27/8.5.12, Node 22.23.4/24.22.1/26.12.1 e Next 15.5.28/16.4.1.
Reinicie os serviços, reconstrua as imagens e publique de novo.
Confira de novo as versões em produção, não só na máquina de quem atualizou.
Se algo não puder ser atualizado hoje, aplique as mitigações oficiais, isole o sistema e marque uma data para resolver.
Revise os logs em busca de erros fatais repetidos, processos do PHP abrindo shells e picos de memória.
Planeje sair de versões sem suporte: o PHP 8.2 chega ao fim de vida em 31 de dezembro de 2026.
Perguntas frequentes
Quais são as CVEs mais críticas de outubro de 2026?
São a CVE-2026-109618 e a CVE-2026-109619, no núcleo do PHP, com CVSS 4.0 de 9,2 segundo o projeto PHP (o NVD dá 9,8 e 8,1 em CVSS 3.1), e os três avisos de 14/10/2026 para Next.js e React Server Components, com CVSS 4.0 de 9,5. No Node.js, a falha de maior destaque é a CVE-2026-111497, no Brotli, classificada como alta pelo Node.js.
Qual versão do PHP corrige a CVE-2026-109618?
As versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12, lançadas em 21 de outubro de 2026, corrigem a CVE-2026-109618 e a CVE-2026-109619. O PHP 8.1 e anteriores não têm versão oficial; o time de segurança publicou apenas backports mínimos de código-fonte para 7.4, 8.0 e 8.1.
Qual versão do Node.js devo usar depois de 21 de outubro de 2026?
Use a 22.23.4 ou a 24.22.1 (linhas LTS) ou a 26.12.1 (linha Current). Linhas fora de suporte continuam afetadas e não recebem correção.
As falhas do PHP já estão sendo exploradas?
A CISA publicou um alerta em 21/10/2026 pedindo correção imediata, mas até 23/10/2026 nenhuma das duas falhas estava no catálogo KEV, que lista explorações confirmadas. A watchTowr relata ter observado exploração desde 21/10; é um relato de fornecedor de segurança, não uma confirmação oficial.
Uso hospedagem compartilhada. Preciso fazer alguma coisa?
Sim: peça ao provedor a confirmação, por escrito, de que a versão do PHP que atende o seu site é 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou superior. Em hospedagem compartilhada, quem atualiza o PHP é o provedor.
Aplicar só as mitigações resolve?
Não. O projeto PHP afirma que as mitigações reduzem a exposição, mas não tornam a instalação segura. A correção completa é atualizar para a versão corrigida.
Até quando o PHP 8.2 recebe correções?
O PHP 8.2 chega ao fim de vida em 31 de dezembro de 2026. Depois disso, deixa de receber correções de segurança, então vale planejar a migração para 8.3 ou mais nova.
Fontes
Todos os números deste artigo vêm das fontes oficiais abaixo, consultadas em 23 de outubro de 2026.
GHSA-w8hw-w9fx-j79w: RCE via OOM corruption (CVE-2026-109618)
GHSA-6wmf-4rv5-p3rp: RCE via stale global state (CVE-2026-109619)
CISA: Critical Vulnerabilities in PHP Require Immediate Patching
Node.js v22.23.4 · v24.22.1 · v26.12.1 (notas de versão)
A SupArt faz isso por você
Se você não tem tempo ou equipe para fazer esse levantamento, nós fazemos. A SupArt presta o serviço de auditoria e atualização de segurança de sites e servidores PHP e Node.js:
inventário das versões de PHP, Node.js, frameworks e dependências em produção;
atualização planejada, com backup e janela combinada para não derrubar o site;
aplicação das mitigações oficiais quando a atualização precisa esperar;
relatório final em linguagem clara, com o que foi corrigido e o que recomendamos em seguida.
Conheça também os outros serviços do estúdio e os demais artigos sobre segurança.
Trabalhamos somente com autorização por escrito do responsável pelo site ou servidor. Nada de testes sem combinado.
Fale com a gente no WhatsApp: "Quero uma revisão de segurança do meu site" →
Próximo passo