Vulnerabilidade PHP: atualizar PHP no aaPanel / BTPHP vulnerability · PHP2Shell · CVE-2026-109618 / CVE-2026-109619 · PHP RCE · PHP security update

Vulnerabilidade PHP: estado dos pacotes do fornecedor

Uma correção confirmada indica publicação pelo fornecedor, não que o servidor esteja atualizado. Um estado não confirmado ainda não tem uma revisão verificada para essa combinação.

Vulnerabilidade PHP: outras famílias de pacotes

Essas famílias têm cronogramas independentes. Identifique o repositório; a correção de uma família não comprova a de outra.

BT confirma correções da vulnerabilidade PHP para PHP 8.2–8.5 nos painéis Linux e Windows. Atualize a lista de software e cada runtime web. Não testamos a instalação nem o reinício pelo painel.

BT confirma correções adaptadas da vulnerabilidade PHP para PHP 7.4, 8.0 e 8.1 somente no Linux. Os rótulos 7.4.34, 8.0.27 e 8.1.35 identificam pacotes BT Linux, não versões do projeto PHP. Eles não comprovam correção no BT Windows ou em outros fornecedores. Confirme o build no painel; a instalação não foi testada.

BT ainda não anunciou pacotes corrigidos desta vulnerabilidade PHP para PHP 8.1 ou anterior no painel Windows. A mitigação do progresso de upload de sessão trata CVE-2026-109619, mas não corrige CVE-2026-109618. Planeje migrar para uma série com suporte e correção. Os rótulos de pacotes Linux não comprovam correção no Windows.

Identifique a origem da correção desta Vulnerabilidade PHP

Pacotes do sistema, repositórios externos, imagens e PHP do painel podem ser instalações diferentes. Confira sistema, arquitetura, repositório e runtime do domínio: o mesmo número curto pode ter correções diferentes.

Código-fonte enviado, data prevista ou etiqueta RC não comprovam a publicação da correção desta Vulnerabilidade PHP.

PHP 8.5: atualizar, reiniciar e verificar

PHP 8.4: atualizar, reiniciar e verificar

PHP 8.3: atualizar, reiniciar e verificar

PHP 8.2: atualizar, reiniciar e verificar

PHP 8.1: atualizar, reiniciar e verificar

PHP 8.0: atualizar, reiniciar e verificar

PHP 7.4: atualizar, reiniciar e verificar

Vulnerabilidade PHP: se ainda não puder atualizar

A mitigação não corrige totalmente esta Vulnerabilidade PHP. Desativar o progresso de upload de sessões reduz apenas caminhos confirmados de CVE-2026-109619; não corrige CVE-2026-109618 nem exclui outros caminhos de estado residual.

session.upload_progress.enabled = Off

Aplique o ajuste na configuração do runtime web antes de processar as requisições e reinicie todos os processos. Não dependa de ini_set() nem do .user.ini do FPM. O recurso de progresso de upload de sessões do PHP será desativado.

cleanup, strict_mode, only_cookies e HttpOnly são ajustes de sessão, não provas de correção dessas CVE. O aviso também aborda limites de requisição, memória e rastros de erro; remover o limite de memória pode esgotar recursos. Avalie as condições e o impacto operacional antes de alterar outros ajustes.

Verificado em: 2026-10-21 23:25:00 UTC

Fonte do fornecedor ↗

Fonte do fornecedor ↗

Verificações após corrigir esta Vulnerabilidade PHP

Teste requisições críticas, login, uploads, logs, tarefas e processos em segundo plano. Reinicie todos os processos PHP web e confira cada site. Registre o repositório e a revisão completa; planeje a migração das séries EOL.

Perguntas frequentes