Duas falhas críticas de RCE no PHP (CVE-2026-109618 e CVE-2026-109619) exigem ação imediata. Ubuntu já corrigiu. Atualize agora e proteja sua aplicação! Não perca tempo! Aja agora e evite ataques! Já!
Duas vulnerabilidades críticas no PHP, batizadas de php2shell, foram identificadas e podem permitir execução remota de código (RCE) não autenticada em qualquer aplicação que utilize o interpretador.
O Ubuntu já disponibilizou as correções para todas as versões suportadas, mas a janela de exposição é real e exige ação imediata de administradores e desenvolvedores.
Neste guia, você vai entender o que são as falhas CVE-2026-109618 e CVE-2026-109619, por que elas receberam pontuação CVSS 4.0 de 9.2 (crítica) e como aplicar as atualizações de forma segura no Ubuntu. O conteúdo foi produzido com base em fontes oficiais — comunicado do Ubuntu
O que é o php2shell e por que você deve se preocupar
O apelido php2shell resume o impacto: um atacante não autenticado, com acesso de rede à aplicação web, pode executar comandos arbitrários no servidor com as credenciais do usuário do serviço PHP.
Isso significa que qualquer aplicação PHP exposta — seja um site WordPress, um painel administrativo, uma API ou um sistema interno — está potencialmente vulnerável se não estiver com os pacotes atualizados.
A gravidade é máxima. As duas falhas receberam CVSS 4.0 9.2, classificadas como CRITICAL. O PHP Foundation coordenou a divulgação com distribuidores, mas um vazamento público antecipou a data de divulgação para 21 de outubro de 2026, aumentando a urgência de correção.
Em outras palavras: a informação já está circulando e o risco de exploração cresce a cada hora.
Detalhes técnicos: CVE-2026-109618 e CVE-2026-109619
As duas vulnerabilidades têm origens distintas, mas ambas exploram o manuseio de estado interno do PHP durante o processamento de requisições.
CVE-2026-109618 — RCE por corrupção em condições de out-of-memory (OOM)
O PHP, ao lidar com falta de memória, pode interromper o processamento enquanto os dados internos da requisição estão apenas parcialmente inicializados. A rotina de limpeza (cleanup) então trata esses dados inválidos como se fossem válidos, abrindo caminho para execução arbitrária de código.
O ponto mais crítico: em configurações com mod_php, o ataque pode ser disparado antes mesmo que qualquer código da aplicação seja executado.
CVE-2026-109619 — RCE por estado global obsoleto (stale global state)
O estado interno pertencente a uma requisição pode sobreviver após a memória que o sustentava ser liberada. Quando um worker do PHP (em PHP-FPM, por exemplo) reutiliza o processo para atender uma nova requisição, esse estado obsoleto pode ser utilizado antes que a inicialização normal o redefina.
O resultado é a execução de código pelo atacante não autenticado.
Ambas as falhas afetam qualquer aplicação PHP, independentemente do framework ou CMS utilizado. O risco é maior para instalações que servem requisições web diretamente, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
Produto Recomendado
Cansado de headset que esquenta a orelha, aperta a cabeça ou custa caro? O Redragon Zeus Lite H510-LT entrega som real, conforto para horas de jogo e preço justo.
Com drivers de 53mm, ele oferece graves encorpados e mais imersão — você ouve cada passo e detalhe. As almofadas e o arco em tecido de malha esportiva deixam o ouvido respirar, esquentam menos e não grudam na pele, ideal para maratonas ou para quem usa óculos.
O microfone é removível e tem redução de ruído, garantindo voz limpa no Discord. A conexão P3 3.5mm é plug and play: funciona no PC, PlayStation, Xbox (com adaptador), notebook e celular, com controle de volume e mute no cabo.
Por que escolher?
- Som de 53mm com resposta de 20Hz a 20kHz.
- Conforto térmico com tecido respirável.
- Microfone removível e conexão versátil.
- Custo-benefício imbatível.
Na Amazon, é avaliado com 4,8 de 5 estrelas, com elogios ao áudio, ao conforto e ao preço. Um comprador resumiu: “Você esquece que tá na sua cabeça.”
Headset Gamer Redragon Zeus Lite Preto P3 H510-LT -> https://link.amazon/B00d4j1x1
Eu ganho uma comissão quando você faz uma compra.
Quais versões do Ubuntu são afetadas e como corrigir
O Ubuntu liberou correções para todas as versões suportadas, incluindo releases que já estão em fase de suporte estendido (ESM). A tabela abaixo resume os pacotes e as versões corrigidas:
Para as versões mais antigas (20.04 LTS ou anteriores), a correção está disponível via Ubuntu Pro (ESM).
Se você utiliza uma versão não listada, o caminho mais seguro é migrar para uma release suportada ou aplicar os patches mínimos disponibilizados pelo PHP para versões antigas (7.4, 8.0 e 8.1).
Passo a passo para atualizar e proteger seu servidor
1. Verifique se o seu sistema está vulnerável
Execute o comando abaixo para listar os pacotes PHP instalados:
apt list '?installed ?name(^php[0-9.]+$)'
2. Aplique as atualizações
sudo apt update && sudo apt upgrade
sudo apt update && sudo apt install --only-upgrade '?name(^php[0-9.]+$)'
3. Reinicie os serviços que utilizam o PHP
sudo systemctl restart apache2
sudo systemctl restart php8.1-fpm # ajuste a versão conforme o seu ambiente
sudo reboot
4. Verifique novamente as versões
Repita o comando do passo 1 e confirme que as versões agora correspondem às versões corrigidas.
O PHP.net recomenda, como medida paliativa, desativar o session.upload_progress e ajustar configurações de memória e tamanho de POST. No entanto, a própria documentação reforça: “apenas uma atualização é uma solução completa”.
Checklist
□ Executei apt list '?installed ?name(^php[0-9.]+$)' e identifiquei a versão do PHP.
□ Comparei a versão com a tabela de versões corrigidas do Ubuntu.
□ Executei sudo apt update && sudo apt upgrade (ou o comando cirúrgico para PHP).
□ Reiniciei o Apache, PHP-FPM ou o servidor completo.
□ Confirmei que a versão agora é a corrigida.
□ Verifiquei se o unattended-upgrades está ativo para futuras atualizações automáticas.
□ Se uso Ubuntu 20.04 ou anterior, confirmei a cobertura do Ubuntu Pro (ESM).
□ Revisei os logs do servidor em busca de atividade suspeita.
□ Documentei a data e a versão aplicada para auditoria.
□ Compartilhei este checklist com a equipe de infraestrutura.
FAQ
1. Qual é a principal característica que torna as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 tão graves?
a) Exigem autenticação de administrador.b) Permitem execução remota de código (RCE) sem autenticação.
c) Afetam apenas aplicações WordPress.
d) Só podem ser exploradas localmente.
Resposta correta: b) Permitem execução remota de código (RCE) sem autenticação.
2. No Ubuntu, qual comando é recomendado para listar os pacotes PHP instalados e verificar a versão?
a) php -v
b) apt list --installed | grep php
c) apt list '?installed ?name(^php[0-9.]+$)'
d) dpkg -l | grep apache
Resposta correta: c) apt list '?installed ?name(^php[0-9.]+$)'.
3. Após aplicar a atualização de segurança, qual ação é essencial para garantir que a correção entre em vigor?
a) Apenas reiniciar o computador.b) Reiniciar o serviço web ou o PHP-FPM (ou reiniciar o servidor).
c) Limpar o cache do navegador.
d) Reinstalar o PHP do zero.
Resposta correta: b) Reiniciar o serviço web ou o PHP-FPM (ou reiniciar o servidor).
Nenhum comentário:
Postar um comentário