Another critical PHP security flaw in 2026?
Valor
Comprar
The question is whether “Outra falha crítica de segurança no PHP em 2026?” occurs by the stated deadline and under the published conditions.
A Yes outcome requires the stated conditions to be met; No covers the alternative.
The qualifying event, evidence source, cutoff time, and any exceptions are documented in the Resolution Rules below.
Este mercado resolverá para "Sim" se uma vulnerabilidade crítica no PHP for divulgada publicamente pela primeira vez entre a criação do mercado e 31 de dezembro de 2026, 23:59 ET, e atender a todos os requisitos abaixo até aquele prazo. Caso contrário, este mercado resolverá para "Não".
Divulgação pública significa informação publicamente disponível suficiente para identificar a vulnerabilidade específica, seja por meio de um advisory oficial, publicação de pesquisador, vazamento ou commit de código público. Um aviso geral sobre uma vulnerabilidade não especificada não se qualificará sozinho. Uma vulnerabilidade divulgada publicamente antes da criação do mercado não se qualificará meramente porque recebe um identificador CVE ou pontuação qualificável durante o período do mercado.
Uma vulnerabilidade qualificável deve afetar o próprio PHP (o interpretador PHP e as extensões incluídas no código-fonte oficial php-src), deve ser atribuída a um identificador CVE publicamente disponível, e deve receber uma pontuação base CVSS publicada publicamente de 9,0 ou superior (sob qualquer versão CVSS) do projeto PHP ou do US National Vulnerability Database (NVD). Vulnerabilidades afetando apenas versões não suportadas do PHP ou extensões opcionais incluídas se qualificarão se atenderem de outra forma a esses requisitos. Extensões distribuídas separadamente do php-src (por exemplo, por meio do PECL) não se qualificarão.
Uma pontuação qualificável de qualquer uma das fontes é suficiente, independentemente de uma pontuação menor da outra fonte ou sob outra versão CVSS. Apenas uma pontuação publicada pelo próprio NVD (atribuída ao NIST) ou pelo projeto PHP contará; pontuações exibidas pelo NVD mas atribuídas a qualquer outra organização não se qualificarão. Uma vez que todos os requisitos tenham sido atendidos durante o período do mercado, revisões subsequentes de pontuação não afetarão a resolução.
CVE-2026-109618 e CVE-2026-109619 (“PHP2Shell”) não se qualificarão. Vulnerabilidades em software de terceiros escrito em ou rodando em PHP (por exemplo, WordPress, Laravel, Drupal, plugins ou outros frameworks e bibliotecas) não se qualificarão.