Resumo
O PHP 8.4.27 aplica à linha 8.4 as correções de segurança para CVE-2026-109618 e CVE-2026-109619. O anúncio informa a possibilidade de execução remota de código sem autenticação e orienta atualizar imediatamente. O ChangeLog também descreve manutenção no runtime e nas extensões.
Novidades
As notas não anunciam novos recursos da linguagem nesta versão de manutenção.
Melhorias
A publicação concentra as alterações nas correções, sem resultados medidos de desempenho.
Correções
- PHP 8.4.27 — Segurança: a versão corrige o tratamento do estado interno relacionado às duas vulnerabilidades anunciadas.
- PHP 8.4.27 — Arquivos compactados:
ZipArchive::extractTo()respeita os arquivos informados por um array que não seja uma lista. - PHP 8.4.27 — Windows:
socket_select()corrige a redução silenciosa de conjuntos maiores queFD_SETSIZE.
Ponto de Atenção
A correção precisa chegar ao processo que atende à aplicação. Teste sugerido: confira a revisão do PHP no serviço web após atualizar. Numa cópia da aplicação que utilize ZipArchive, extraia um conjunto de arquivos indicado por um array com chaves não sequenciais e compare os arquivos obtidos.
Notas da versão
O release oficial do PHP 8.4.27 foi publicado em 21/10/2026 às 14h07 UTC como versão estável. O ChangeLog da 8.4.27 indica 22/10/2026. A data deste registro segue o GitHub. O aviso de segurança explica a necessidade da atualização.