PHP
3 artigos com esta tag
O que verificar após uma atualização de emergência do PHP: PHP web vs. PHP de linha de comando, set -e e códigos de saída do diff, e uma nova verificação de invasão
Durante a resposta de outubro de 2026 às vulnerabilidades críticas do PHP, um site administrado pelo operador deste site tinha atualizado o PHP web, mas o PHP de linha de comando usado pelo cron ainda apontava para uma versão antiga. Verifique o web e o CLI separadamente. Com set -e, diff e grep retornam status de saída 1 para 'diferenças encontradas' ou 'sem correspondência', o que interrompe o script; trate 0, 1 e 2 separadamente. Após a correção, execute a mesma lista de verificação de invasão em todos os servidores, e esclareça uma entrada de log suspeita comparando os arquivos ativos com a cópia conhecida como boa, implantada anteriormente.
Fragnesia do kernel do Linux (CVE-2026-46300): a CISA a lista como explorada com prazo em 31 de outubro; atualize o PHP e o kernel e reinicie
O CVE-2026-46300, apelidado de Fragnesia, é uma falha no kernel do Linux que permite a um usuário local com poucos privilégios obter root (CVSS v3.1 7.8, vetor de ataque local). Quando o kernel move fragmentos de dados entre buffers de rede, ele pode perder uma marca que indica que os dados são compartilhados com um arquivo na memória, e o código IPsec ESP pode então descriptografar sobre a cópia em cache de um arquivo somente leitura. O projeto do kernel publicou o CVE em 23 de maio de 2026, e as correções estão nos kernels 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33 e 7.0.10 e posteriores. Em 28 de outubro de 2026 (horário dos EUA), a CISA a adicionou ao seu catálogo de vulnerabilidades exploradas conhecidas (KEV) com base em evidências de exploração ativa, com prazo de 31 de outubro para as agências federais dos EUA. A descrição da CISA diz que ela pode ser encadeada com as falhas do PHP CVE-2026-109618 e CVE-2026-109619 para implantar webshells PHP e executar comandos como root. Uma empresa de segurança relatou que essa cadeia foi usada contra 25 servidores (principalmente firewalls), e a SecurityWeek repetiu o relato; este site não verificou os números de forma independente. Ubuntu, Red Hat e Debian publicaram kernels corrigidos, e uma atualização do kernel só passa a valer depois de reiniciar. Conclusão deste site: se você roda sites PHP em Linux, atualize o PHP e o kernel, reinicie e procure webshells.
[Urgente] Falhas do PHP CVE-2026-109618 e CVE-2026-109619 já estão sendo exploradas e entram no catálogo KEV da CISA: atualize para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 agora
Em 21 de outubro de 2026, a equipe de segurança do PHP lançou o PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, corrigindo duas vulnerabilidades críticas que podem permitir execução remota de código (RCE) sem autenticação, e pediu que todos os usuários atualizem imediatamente. O CVE-2026-109618 envolve o tratamento de falta de memória (out-of-memory), e o CVE-2026-109619 envolve estado interno obsoleto que sobrevive entre requisições; ambos têm nota 9,2 no CVSS v4.0. Todas as instalações do PHP que atendem requisições web estão em risco (PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed). A equipe considera o mod_php o de maior risco, citando um exploit demonstrado em que uma requisição sem autenticação dispara o ataque antes de qualquer código da aplicação ser executado. O PHP 8.1 e versões anteriores não recebem atualização oficial; a equipe disponibilizou backports mínimos de código-fonte para 7.4, 8.0 e 8.1. As distribuições Linux receberam os patches antecipadamente. Não há mitigação completa; atualizar é a única escolha segura. Em 22 de outubro, o IPA e o JPCERT/CC do Japão emitiram alertas, e a JVN publicou a JVNVU#99905564. A CISA, que não havia observado exploração quando publicou seu alerta pela primeira vez, incluiu as duas falhas no catálogo Known Exploited Vulnerabilities (KEV) em 26 de outubro, com prazo até 29 de outubro para as agências civis federais dos EUA. Segundo reportagens da mídia, honeypots de um pesquisador de segurança rodando o PHP 8.4.26 sem patch sob mod_php registraram execução remota de código bem-sucedida em 24 de outubro. Os honeypots de um grande provedor de nuvem já haviam registrado tentativas de exploração a partir de 17 de outubro, quatro dias antes da divulgação. Até onde este site conseguiu verificar, nenhuma invasão fora de honeypots havia se tornado pública até 27 de outubro. A maioria dos grandes provedores de hospedagem compartilhada do Japão anunciou que a correção foi aplicada, mas alguns, como a KAGOYA, ainda não. Em 23 de outubro, a equipe do PHP divulgou uma terceira questão (CVE-2026-115560) que os lançamentos de 21 de outubro não corrigem. Ela pode levar à execução de código somente com uma combinação específica de configuração e código da aplicação; a equipe considera isso improvável na prática, vai distribuir a correção e um aviso completo com a próxima versão regular, e recomenda definir session.upload_progress.enabled=0 até lá. As versões afetadas e uma pontuação CVSS não foram publicadas, e nenhuma exploração foi relatada. Até 29 de outubro (verificado no php.net), não havia versão com correção para essa questão. Em 28 de outubro, a CISA incluiu também no KEV a falha do kernel do Linux CVE-2026-46300 (prazo em 31 de outubro para as agências federais dos EUA) e disse que ela pode ser encadeada com estas duas falhas para implantar webshells de PHP e executar comandos como root. A visão deste site: a exploração já está confirmada, então confirme se você ou seu provedor atualiza o PHP de cada site e migre para a versão corrigida hoje. Verifique também os logs a partir de 17 de outubro em busca de sinais de invasão. Na hospedagem compartilhada, verifique o aviso de conclusão do seu provedor no site oficial.