Vulnerabilidade PHP: atualizar PHP no cPanelPHP vulnerability · PHP2Shell · CVE-2026-109618 / CVE-2026-109619 · PHP RCE · PHP security update

Vulnerabilidade PHP: estado dos pacotes do fornecedor

Uma correção confirmada indica publicação pelo fornecedor, não que o servidor esteja atualizado. Um estado não confirmado ainda não tem uma revisão verificada para essa combinação.

Vulnerabilidade PHP: outras famílias de pacotes

Essas famílias têm cronogramas independentes. Identifique o repositório; a correção de uma família não comprova a de outra.

O CloudLinux confirma correções alt-php estáveis em OS 7/8/9 e Ubuntu 22.04. O OS 10 usa ELS para essas séries e alt-php 5.2 também está em estável. OS 7/8/9 não precisa mais da troca temporária para ELS. Revisões exatas e CloudLinux 6 seguem não verificados; confira ambas as CVE no changelog instalado. Instalação não testada.

O CloudLinux confirma estes backports ea-php em estável para OS 7/8/9/10. Expanda as revisões e confira sistema e família; não se aplicam a alt-php nem PHP nativo. Instalação por arquitetura não testada: confira ambas as CVE no changelog instalado.

Identifique a origem da correção desta Vulnerabilidade PHP

Pacotes do sistema, repositórios externos, imagens e PHP do painel podem ser instalações diferentes. Confira sistema, arquitetura, repositório e runtime do domínio: o mesmo número curto pode ter correções diferentes.

Código-fonte enviado, data prevista ou etiqueta RC não comprovam a publicação da correção desta Vulnerabilidade PHP.

PHP 8.5: atualizar, reiniciar e verificar

PHP 8.4: atualizar, reiniciar e verificar

PHP 8.3: atualizar, reiniciar e verificar

PHP 8.2: atualizar, reiniciar e verificar

PHP 8.1: atualizar, reiniciar e verificar

PHP 8.0: atualizar, reiniciar e verificar

PHP 7.4: atualizar, reiniciar e verificar

cPanel · EasyApache 4

Peça ao administrador que atualize com EasyApache 4 e confira cada domínio no MultiPHP Manager. Não testamos um cPanel licenciado, portanto não publicamos comandos de shell. CloudLinux alt-php é uma família diferente; peça confirmação separada.

Vulnerabilidade PHP: se ainda não puder atualizar

A mitigação não corrige totalmente esta Vulnerabilidade PHP. Desativar o progresso de upload de sessões reduz apenas caminhos confirmados de CVE-2026-109619; não corrige CVE-2026-109618 nem exclui outros caminhos de estado residual.

session.upload_progress.enabled = Off

Aplique o ajuste na configuração do runtime web antes de processar as requisições e reinicie todos os processos. Não dependa de ini_set() nem do .user.ini do FPM. O recurso de progresso de upload de sessões do PHP será desativado.

cleanup, strict_mode, only_cookies e HttpOnly são ajustes de sessão, não provas de correção dessas CVE. O aviso também aborda limites de requisição, memória e rastros de erro; remover o limite de memória pode esgotar recursos. Avalie as condições e o impacto operacional antes de alterar outros ajustes.

Verificado em: 2026-10-21 23:25:00 UTC

Fonte do fornecedor ↗

Fonte do fornecedor ↗

Verificações após corrigir esta Vulnerabilidade PHP

Teste requisições críticas, login, uploads, logs, tarefas e processos em segundo plano. Reinicie todos os processos PHP web e confira cada site. Registre o repositório e a revisão completa; planeje a migração das séries EOL.

Perguntas frequentes