A equipe de desenvolvimento do Arch Linux emitiu nesta quarta-feira (21) um comunicado urgente de segurança para todos os usuários que mantêm aplicações PHP em seus sistemas. A distribuição alerta que versões anteriores do PHP estão vulneráveis a duas falhas críticas que permitem a execução remota de código (Remote Code Execution – RCE).

De acordo com a nota oficial assinada pelo desenvolvedor David Runge, as vulnerabilidades foram registradas como CVE-2026-109618 e CVE-2026-109619. Ambas afetam versões do PHP anteriores à 8.5.12 e da linha legada anteriores à 8.3.36.

O risco é considerado alto. A execução remota de código permite que um atacante, explorando a falha, execute comandos arbitrários no servidor afetado, o que pode levar ao comprometimento total do sistema, roubo de dados e instalação de malware.

“Para qualquer sistema que exponha publicamente uma aplicação PHP com o auxílio de uma versão anterior do PHP, exortamos os usuários a atualizar esses sistemas para a versão mais recente disponível do PHP (php ≥ 8.5.12 e php-legacy ≥ 8.3.36) imediatamente”, afirma o comunicado oficial.

A recomendação é que administradores de sistemas realizem a atualização através do gerenciador de pacotes do Arch Linux (pacman -Syu) o mais rápido possível. Para detalhes técnicos adicionais e instruções específicas de mitigação, a equipe orienta a consulta aos Avisos de Segurança do Arch Linux (ASA-202610-1 e ASA-202610-2).