O PHP abordou três vulnerabilidades de segurança em seus últimos lançamentos de manutenção, incluindo falhas de alta gravidade que podem expor aplicações a injeção SQL e escritas de memória fora dos limites. Essas vulnerabilidades afetam extensões opcionais do PHP comumente usadas por aplicações web: ext-pgsql, ext-bcmath e ext-phar. Organizações são instadas a atualizar suas instalações do PHP prontamente, especialmente se suas aplicações processam entrada não confiável ou manipulam arquivos de arquivo compactados.
Análise técnica das vulnerabilidades
A questão mais crítica, rastreada como CVE-2026-17543, afeta a extensão PostgreSQL. Esta falha existe na função php_pgsql_convert(), usada por funções de conveniência como pg_insert(), pg_update(), pg_select() e pg_delete(). O código vulnerável escapa valores fornecidos pelo usuário usando PQescapeStringConn(). Em seguida, coloca o resultado em uma constante de string de escape formatada como E'…'. Com a configuração standard_conforming_strings do PostgreSQL habilitada, barras invertidas não são escapadas com segurança neste contexto.
Riscos de corrupção de memória e negação de serviço
A segunda vulnerabilidade de alta gravidade, CVE-2026-17544, impacta a função bccomp() da extensão BCMath. O bug está localizado em bc_str2num(), onde o PHP truncava dígitos fracionários e removia zeros à direita. O código reduziu o tamanho do buffer alocado, mas não atualizou o ponteiro definindo o fim dos dados fracionários copiados. Consequentemente, o PHP poderia copiar mais dados do que o buffer alocado pode suportar, levando a uma escrita fora dos limites que pode corromper a memória da pilha ou heap.
Impacto e alcance
A terceira falha, rastreada como CVE-2026-7260, afeta a extensão Phar e pode causar o travamento de processos PHP. Esta vulnerabilidade decorre da função phar_get_link_source(), que segue recursivamente links simbólicos armazenados em arquivos Phar sem impor um limite de profundidade de recursão ou detectar referências circulares. Um arquivo Phar baseado em tar malicioso com links simbólicos circulares poderia desencadear recursão infinita, causando travamento do PHP com falha de segmentação.
Recomendações para administradores
Usuários afetados devem atualizar para as versões PHP 8.2.33, 8.3.33, 8.4.24 ou 8.5.9. Administradores do PHP também devem revisar aplicações que dependem de funções auxiliares do PostgreSQL, operações BCMath com valores fornecidos externamente e fluxos de trabalho de upload de arquivos que analisam arquivos Phar ou tar.