O time de segurança do core do PHP emitiu um aviso prévio incomum recomendando que todas as equipes e mantenedores preparem seus ambientes: uma **atualização crítica de segurança** está programada para amanhã, **quarta-feira, 21 de outubro de 2026, às 14:00 UTC** (11:00 no horário de Brasília).

O comunicado oficial destaca que o patch corrigirá **duas vulnerabilidades críticas independentes**, ambas com pontuação **CVSS v4.0 de 9.2**.

### O que se sabe até agora:

* **Severidade Máxima:** Ambas as falhas receberam score 9.2 (CVSS v4.0), indicando alto potencial de impacto (geralmente associado a Remote Code Execution ou bypass total de isolamento/autenticação).
* **Antecipação emergencial:** A equipe do PHP reservou o direito de antecipar o lançamento caso os detalhes das falhas vazem publicamente ou se forem detectados ataques ativos antes do horário previsto.
* **Detalhes sob embargo:** As versões exatas afetadas, versões corrigidas e os vetores de ataque específicos serão divulgados publicamente apenas no momento do deploy do patch.

Alerta de Segurança: PHP terá atualização crítica para duas falhas CVSS 9.2 nesta quarta (21)

O time de segurança do core do PHP emitiu um aviso prévio incomum recomendando que todas as equipes e mantenedores preparem seus ambientes: uma atualização crítica de segurança está progr...