Resumo
O PHP 8.5.12 corrige as vulnerabilidades CVE-2026-109618 e CVE-2026-109619, relacionadas à corrupção do estado interno e à possível execução remota de código sem autenticação. O projeto orienta a atualização imediata das instalações da linha 8.5. As medidas temporárias descritas no aviso oficial não substituem a correção.
Novidades
A publicação é de manutenção e segurança, sem anúncio de novos recursos da linguagem.
Melhorias
As notas descrevem correções de funcionamento, sem apresentar medições de desempenho.
Correções
- PHP 8.5.12 — Segurança: a atualização corrige a corrupção do estado interno associada às duas vulnerabilidades anunciadas pelo projeto.
- PHP 8.5.12 — Banco de dados: o PDO corrige a permanência do resultado anterior após uma execução malsucedida. O driver PostgreSQL aceita bytes nulos em
pg_lo_write(). - PHP 8.5.12 — Runtime: a detecção de AVX considera a habilitação pelo sistema operacional. O servidor integrado corrige o vazamento de descritores após requisições HEAD a arquivos estáticos.
Ponto de Atenção
Atualize o runtime que atende às requisições web. Conferir apenas a CLI não confirma a versão utilizada pelo servidor. Teste sugerido: confira a versão e a revisão do pacote no serviço web após aplicar a atualização e execute os testes da aplicação com suas extensões habituais.
Notas da versão
O release oficial do PHP 8.5.12 foi publicado em 21/10/2026 às 14h06 UTC como versão estável. O ChangeLog da 8.5.12 mostra 22/10/2026. Este registro utiliza a data de publicação do GitHub. Consulte também o aviso de segurança do PHP.