- Outra falha crítica de segurança no PHP em 2026?26¢26%
The recent coordinated disclosure and patching of two critical PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) on October 21 has strongly shaped trader sentiment. These CVSS 9.2 flaws enable unauthenticated remote code execution across nearly all PHP versions serving web requests, including via out-of-memory handling and stale state issues in the core runtime. Patches for supported branches (8.2.35, 8.3.36, 8.4.27, and 8.5.12) were released immediately, with demonstrated exploits and expected mass attacks prompting urgent updates from the PHP Foundation and major cloud providers. This swift remediation, combined with the absence of further confirmed critical issues in supported releases, underpins the 73.5% market-implied probability against another such flaw emerging before year-end, reflecting trader focus on these as the primary 2026 event.
Regras
Este mercado será resolvido como "Sim" se uma vulnerabilidade crítica no PHP for divulgada publicamente pela primeira vez entre a criação do mercado e 31 de dezembro de 2026, 23:59 ET, e cumprir todos os requisitos abaixo até esse prazo. Caso contrário, este mercado será resolvido como "Não". Divulgação pública significa informações disponíveis publicamente suficientes para identificar a vulnerabilidade específica, seja por meio de um comunicado oficial, publicação de um pesquisador, vazamento ou commit público de código. Um aviso geral sobre uma vulnerabilidade não especificada não será suficiente, por si só, para atender aos requisitos. Uma vulnerabilidade divulgada publicamente antes da criação do mercado não atenderá aos requisitos apenas por receber um identificador CVE ou uma pontuação qualificável durante o período do mercado. Uma vulnerabilidade qualificável deve afetar o próprio PHP (o interpretador PHP e as extensões incluídas no código-fonte oficial php-src), ter um identificador CVE disponível publicamente e receber uma pontuação base CVSS publicada de 9.0 ou superior (em qualquer versão do CVSS) do projeto PHP ou do US National Vulnerability Database (NVD). Vulnerabilidades que afetem apenas versões do PHP sem suporte ou extensões incluídas opcionais serão qualificáveis se atenderem aos demais requisitos. Extensões distribuídas separadamente do php-src (por exemplo, por meio do PECL) não serão qualificáveis. Uma pontuação qualificável de qualquer uma das fontes será suficiente, independentemente de uma pontuação mais baixa da outra fonte ou em outra versão do CVSS. Somente contará uma pontuação publicada pelo próprio NVD (atribuída ao NIST) ou pelo projeto PHP; pontuações exibidas pelo NVD, mas atribuídas a qualquer outra organização, não serão qualificáveis. Depois que todos os requisitos forem atendidos durante o período do mercado, revisões posteriores das pontuações não afetarão a resolução. CVE-2026-109618 e CVE-2026-109619 ("PHP2Shell") não serão qualificáveis. Vulnerabilidades em softwares de terceiros escritos em PHP ou executados no PHP (por exemplo, WordPress, Laravel, Drupal, plugins ou outros frameworks e bibliotecas) não serão válidas. A fonte primária para a resolução deste mercado será composta por informações oficiais do projeto PHP (incluindo php.net e os avisos de segurança do php-src no GitHub) e do NVD (https://nvd.nist.gov); no entanto, também poderá ser usado um consenso de fontes jornalísticas confiáveis.
Tradução automática. Em caso de divergência, prevalece o original.