Faça backup da aplicação, configuração e dados e teste em homologação. Para corrigir esta Vulnerabilidade PHP, use o repositório e a série instalados.
Vulnerabilidade PHP: estado dos pacotes do fornecedor
| Série / Fornecedor | Pacote corrigido | PHP2Shell · Estado |
|---|---|---|
| PHP 8.2 debian-lts · 12 | 8.2.35-1~deb12u1 Fonte do fornecedor ↗ | Correção confirmada Verificado em: 2026-10-22 03:28:59 UTC |
Uma correção confirmada indica publicação pelo fornecedor, não que o servidor esteja atualizado. Um estado não confirmado ainda não tem uma revisão verificada para essa combinação.
Identifique a origem da correção desta Vulnerabilidade PHP
Pacotes do sistema, repositórios externos, imagens e PHP do painel podem ser instalações diferentes. Confira sistema, arquitetura, repositório e runtime do domínio: o mesmo número curto pode ter correções diferentes.
Código-fonte enviado, data prevista ou etiqueta RC não comprovam a publicação da correção desta Vulnerabilidade PHP.
PHP 8.2: atualizar, reiniciar e verificar
debian-lts · 12
DLA-4848-1 e o rastreador do Debian confirmam a correção. Um contêiner novo Debian 12 ARM64 instalou o pacote e passou nos comandos publicados de atualização e reinício.
Verificado em: 2026-10-22 03:28:59 UTC · Fonte do fornecedor ↗
Atualizar
sudo apt-get updateapt-cache policy php8.2-fpmsudo apt-get install -y --only-upgrade 'php8.2*' libapache2-mod-php8.2Reiniciar
service php8.2-fpm restartservice apache2 restartVerificar
dpkg-query -W -f='${Package} ${Version}\n' 'php*'php -vAmbiente testado: debian:12 contêiner (ARM64), 2026-10-21 UTC. Use apenas com o repositório e a série indicados; exige acesso de administrador. Confirme extensões e serviços antes de executar em produção.
Vulnerabilidade PHP: publicação de pacotes por arquitetura
Estas observações vêm do índice de pacotes, não de uma instalação testada. Uma data recente numa série EOL não comprova um backport. Confira sistema e arquitetura; não troque o repositório só porque outra arquitetura tem pacote novo.
sury · bookworm · amd64
Verificado em: 2026-10-21T23:22:25.550779+00:00 · Índice de pacotes ↗
| Pacote | Revisão publicada |
|---|---|
| php7.4-cli | 1:7.4.33-31+0~20261021.121+debian12~1.gbpe9c428 |
| php8.0-cli | 1:8.0.30-25+0~20261021.88+debian12~1.gbpabebea |
| php8.1-cli | 8.1.34-9+0~20261021.82+debian12~1.gbp4e430a |
| php8.2-cli | 8.2.35-1+0~20261021.94+debian12~1.gbp8bff78 |
| php8.3-cli | 8.3.36-1+0~20261021.88+debian12~1.gbp250f7c |
| php8.4-cli | 8.4.27-1+0~20261021.57+debian12~1.gbp7636b9 |
| php8.5-cli | 8.5.12-1+0~20261021.27+debian12~1.gbp1a3e8a |
sury · bookworm · arm64
Verificado em: 2026-10-22T03:23:57.653599+00:00 · Índice de pacotes ↗
| Pacote | Revisão publicada |
|---|---|
| php7.4-cli | 1:7.4.33-30+0~20260703.120+debian12~1.gbp1cce3b |
| php8.0-cli | 1:8.0.30-24+0~20260706.87+debian12~1.gbpf2cc5a |
| php8.1-cli | 8.1.34-8+0~20260703.81+debian12~1.gbp86d822 |
| php8.2-cli | 8.2.34-1+0~20260924.93+debian12~1.gbpa3951d |
| php8.3-cli | 8.3.35-1+0~20260925.87+debian12~1.gbp19383d |
| php8.4-cli | 8.4.26-1+0~20260925.56+debian12~1.gbp80d95d |
| php8.5-cli | 8.5.11-1+0~20260924.26+debian12~1.gbpbcb504 |
sury · trixie · amd64
Verificado em: 2026-10-21T23:22:25.551187+00:00 · Índice de pacotes ↗
| Pacote | Revisão publicada |
|---|---|
| php7.4-cli | 1:7.4.33-31+0~20261021.121+debian13~1.gbpe9c428 |
| php8.0-cli | 1:8.0.30-25+0~20261021.88+debian13~1.gbpabebea |
| php8.1-cli | 8.1.34-9+0~20261021.82+debian13~1.gbp4e430a |
| php8.2-cli | 8.2.35-1+0~20261021.94+debian13~1.gbp8bff78 |
| php8.3-cli | 8.3.36-1+0~20261021.88+debian13~1.gbp250f7c |
| php8.4-cli | 8.4.27-1+0~20261021.57+debian13~1.gbp7636b9 |
| php8.5-cli | 8.5.12-1+0~20261021.27+debian13~1.gbp1a3e8a |
sury · trixie · arm64
Verificado em: 2026-10-22T03:23:57.653963+00:00 · Índice de pacotes ↗
| Pacote | Revisão publicada |
|---|---|
| php7.4-cli | 1:7.4.33-30+0~20260703.120+debian13~1.gbp1cce3b |
| php8.0-cli | 1:8.0.30-24+0~20260706.87+debian13~1.gbpf2cc5a |
| php8.1-cli | 8.1.34-8+0~20260703.81+debian13~1.gbp86d822 |
| php8.2-cli | 8.2.34-1+0~20260924.93+debian13~1.gbpa3951d |
| php8.3-cli | 8.3.35-1+0~20260925.87+debian13~1.gbp19383d |
| php8.4-cli | 8.4.26-1+0~20260925.56+debian13~1.gbp80d95d |
| php8.5-cli | 8.5.11-1+0~20260924.26+debian13~1.gbpbcb504 |
Vulnerabilidade PHP: se ainda não puder atualizar
A mitigação não corrige totalmente esta Vulnerabilidade PHP. Desativar o progresso de upload de sessões reduz apenas caminhos confirmados de CVE-2026-109619; não corrige CVE-2026-109618 nem exclui outros caminhos de estado residual.
session.upload_progress.enabled = OffAplique o ajuste na configuração do runtime web antes de processar as requisições e reinicie todos os processos. Não dependa de ini_set() nem do .user.ini do FPM. O recurso de progresso de upload de sessões do PHP será desativado.
cleanup, strict_mode, only_cookies e HttpOnly são ajustes de sessão, não provas de correção dessas CVE. O aviso também aborda limites de requisição, memória e rastros de erro; remover o limite de memória pode esgotar recursos. Avalie as condições e o impacto operacional antes de alterar outros ajustes.
Verificado em: 2026-10-21 23:25:00 UTC
Verificações após corrigir esta Vulnerabilidade PHP
Teste requisições críticas, login, uploads, logs, tarefas e processos em segundo plano. Reinicie todos os processos PHP web e confira cada site. Registre o repositório e a revisão completa; planeje a migração das séries EOL.
Verificar versão →Perguntas frequentes
Por que a versão parece antiga após corrigir a vulnerabilidade PHP?
Fornecedores costumam adaptar o patch à série anterior sem mudar o número curto. Compare revisão completa e repositório com o aviso e confira o runtime web.
Atualizar o PHP do terminal atualiza o site?
Nem sempre. Terminal, PHP-FPM e painel podem usar binários diferentes. Após corrigir a vulnerabilidade PHP, confira o runtime atribuído a cada domínio.
Preciso reiniciar os processos PHP?
Sim. Siga o procedimento do fornecedor para FPM, Apache e processos de longa duração. Instalar um pacote não comprova que todos os processos carregaram a nova versão.