Faça backup da aplicação, configuração e dados e teste em homologação. Para corrigir esta Vulnerabilidade PHP, use o repositório e a série instalados.
Vulnerabilidade PHP: estado dos pacotes do fornecedor
| Série / Fornecedor | Pacote corrigido | PHP2Shell · Estado |
|---|---|---|
| PHP 8.5 rhel | Pacote corrigido — Fonte do fornecedor ↗ | Estado não confirmado: consulte o fornecedor Verificado em: 2026-10-22 03:28:58 UTC |
| PHP 8.4 rhel | Pacote corrigido — Fonte do fornecedor ↗ | Estado não confirmado: consulte o fornecedor Verificado em: 2026-10-22 03:28:58 UTC |
| PHP 8.3 rhel | Pacote corrigido — Fonte do fornecedor ↗ | Estado não confirmado: consulte o fornecedor Verificado em: 2026-10-22 03:28:58 UTC |
| PHP 8.2 rhel | Pacote corrigido — Fonte do fornecedor ↗ | Estado não confirmado: consulte o fornecedor Verificado em: 2026-10-22 03:28:58 UTC |
| PHP 8.1 rhel | Pacote corrigido — Fonte do fornecedor ↗ | Estado não confirmado: consulte o fornecedor Verificado em: 2026-10-22 03:28:58 UTC |
| PHP 8.0 rhel | Pacote corrigido — Fonte do fornecedor ↗ | Estado não confirmado: consulte o fornecedor Verificado em: 2026-10-22 03:28:58 UTC |
| PHP 7.4 rhel · 8 (php:7.4 module) | 7.4.33-8.module+el8.10.0+25117+30337cca Fonte do fornecedor ↗ | Correção adaptada confirmada Verificado em: 2026-10-22 03:29:00 UTC |
| PHP 7.4 rocky-linux · Rocky Linux 8 · php:7.4 | Revisões por sistemaRocky Linux 8 · php:7.4 · x86_64 · php-cli Rocky Linux 8 · php:7.4 · x86_64 · php-common Rocky Linux 8 · php:7.4 · x86_64 · php-fpm Rocky Linux 8 · php:7.4 · aarch64 · php-cli Rocky Linux 8 · php:7.4 · aarch64 · php-common Rocky Linux 8 · php:7.4 · aarch64 · php-fpm Fonte do fornecedor ↗ | Correção adaptada confirmada Verificado em: 2026-10-22 04:44:41 UTC |
Uma correção confirmada indica publicação pelo fornecedor, não que o servidor esteja atualizado. Um estado não confirmado ainda não tem uma revisão verificada para essa combinação.
Vulnerabilidade PHP: outras famílias de pacotes
Essas famílias têm cronogramas independentes. Identifique o repositório; a correção de uma família não comprova a de outra.
| Série / Fornecedor | Pacote corrigido | PHP2Shell · Estado |
|---|---|---|
| PHP 8.5 remi | Revisões por sistemaEL 8 · SCL php85 EL 8 · module php:8.5 EL 9 · SCL php85 EL 9 · module php:8.5 EL 10 · SCL php85 EL 10 · module php:8.5 Fonte do fornecedor ↗ | Correção confirmada Verificado em: 2026-10-22 03:29:00 UTC |
| PHP 8.4 remi | Revisões por sistemaEL 8 · SCL php84 EL 8 · module php:8.4 EL 9 · SCL php84 EL 9 · module php:8.4 EL 10 · SCL php84 EL 10 · module php:8.4 Fonte do fornecedor ↗ | Correção confirmada Verificado em: 2026-10-22 03:29:00 UTC |
| PHP 8.3 remi | Revisões por sistemaEL 8 · SCL php83 EL 8 · module php:8.3 EL 9 · SCL php83 EL 9 · module php:8.3 EL 10 · SCL php83 EL 10 · module php:8.3 Fonte do fornecedor ↗ | Correção confirmada Verificado em: 2026-10-22 03:29:00 UTC |
| PHP 8.2 remi | Revisões por sistemaEL 8 · SCL php82 EL 8 · module php:8.2 EL 9 · SCL php82 EL 9 · module php:8.2 EL 10 · SCL php82 EL 10 · module php:8.2 Fonte do fornecedor ↗ | Correção confirmada Verificado em: 2026-10-22 03:29:00 UTC |
| PHP 8.1 remi | Pacote corrigido — Fonte do fornecedor ↗ | Estado não confirmado: consulte o fornecedor Verificado em: 2026-10-22 03:29:00 UTC |
| PHP 8.0 remi | Pacote corrigido — Fonte do fornecedor ↗ | Estado não confirmado: consulte o fornecedor Verificado em: 2026-10-22 03:29:00 UTC |
| PHP 7.4 remi | Pacote corrigido — Fonte do fornecedor ↗ | Estado não confirmado: consulte o fornecedor Verificado em: 2026-10-22 03:29:00 UTC |
Os metadados estáveis do Remi confirmam CLI, common e FPM de SCL e modular para EL 8/9/10 em x86_64 e aarch64. Expanda as revisões antes de escolher. Outras extensões, sistemas e comandos de instalação não foram testados.
Não foi encontrado backport Remi confirmado para esta série EOL. Um pacote novo de outra série com suporte não confirma a correção desta.
Identifique a origem da correção desta Vulnerabilidade PHP
Pacotes do sistema, repositórios externos, imagens e PHP do painel podem ser instalações diferentes. Confira sistema, arquitetura, repositório e runtime do domínio: o mesmo número curto pode ter correções diferentes.
Código-fonte enviado, data prevista ou etiqueta RC não comprovam a publicação da correção desta Vulnerabilidade PHP.
PHP 8.5: atualizar, reiniciar e verificar
rhel
Não foi confirmado um pacote RHSA exato para esta série. O backport de RHEL 8 php:7.4 abaixo tem outro escopo. Confira produto e fluxo modular; AlmaLinux e Rocky Linux exigem avisos próprios.
Verificado em: 2026-10-22 03:28:58 UTC · Fonte do fornecedor ↗
Atualizar → Reiniciar → Verificar
Este ambiente não foi testado; não publicamos comandos executáveis de atualização. Faça backup e testes, siga o fornecedor, reinicie o PHP e confira a revisão completa.
Abrir instruções do fornecedor ↗PHP 8.4: atualizar, reiniciar e verificar
rhel
Não foi confirmado um pacote RHSA exato para esta série. O backport de RHEL 8 php:7.4 abaixo tem outro escopo. Confira produto e fluxo modular; AlmaLinux e Rocky Linux exigem avisos próprios.
Verificado em: 2026-10-22 03:28:58 UTC · Fonte do fornecedor ↗
Atualizar → Reiniciar → Verificar
Este ambiente não foi testado; não publicamos comandos executáveis de atualização. Faça backup e testes, siga o fornecedor, reinicie o PHP e confira a revisão completa.
Abrir instruções do fornecedor ↗PHP 8.3: atualizar, reiniciar e verificar
rhel
Não foi confirmado um pacote RHSA exato para esta série. O backport de RHEL 8 php:7.4 abaixo tem outro escopo. Confira produto e fluxo modular; AlmaLinux e Rocky Linux exigem avisos próprios.
Verificado em: 2026-10-22 03:28:58 UTC · Fonte do fornecedor ↗
Atualizar → Reiniciar → Verificar
Este ambiente não foi testado; não publicamos comandos executáveis de atualização. Faça backup e testes, siga o fornecedor, reinicie o PHP e confira a revisão completa.
Abrir instruções do fornecedor ↗PHP 8.2: atualizar, reiniciar e verificar
rhel
Não foi confirmado um pacote RHSA exato para esta série. O backport de RHEL 8 php:7.4 abaixo tem outro escopo. Confira produto e fluxo modular; AlmaLinux e Rocky Linux exigem avisos próprios.
Verificado em: 2026-10-22 03:28:58 UTC · Fonte do fornecedor ↗
Atualizar → Reiniciar → Verificar
Este ambiente não foi testado; não publicamos comandos executáveis de atualização. Faça backup e testes, siga o fornecedor, reinicie o PHP e confira a revisão completa.
Abrir instruções do fornecedor ↗PHP 8.1: atualizar, reiniciar e verificar
rhel
Não foi confirmado um pacote RHSA exato para esta série. O backport de RHEL 8 php:7.4 abaixo tem outro escopo. Confira produto e fluxo modular; AlmaLinux e Rocky Linux exigem avisos próprios.
Verificado em: 2026-10-22 03:28:58 UTC · Fonte do fornecedor ↗
Atualizar → Reiniciar → Verificar
Este ambiente não foi testado; não publicamos comandos executáveis de atualização. Faça backup e testes, siga o fornecedor, reinicie o PHP e confira a revisão completa.
Abrir instruções do fornecedor ↗PHP 8.0: atualizar, reiniciar e verificar
rhel
Não foi confirmado um pacote RHSA exato para esta série. O backport de RHEL 8 php:7.4 abaixo tem outro escopo. Confira produto e fluxo modular; AlmaLinux e Rocky Linux exigem avisos próprios.
Verificado em: 2026-10-22 03:28:58 UTC · Fonte do fornecedor ↗
Atualizar → Reiniciar → Verificar
Este ambiente não foi testado; não publicamos comandos executáveis de atualização. Faça backup e testes, siga o fornecedor, reinicie o PHP e confira a revisão completa.
Abrir instruções do fornecedor ↗PHP 7.4: atualizar, reiniciar e verificar
rhel · 8 (php:7.4 module)
RHSA-2026:87080 e CSAF confirmam ambas as CVE em RHEL 8 php:7.4 para x86_64, aarch64, ppc64le e s390x. Não confirma AlmaLinux, Rocky Linux nem outros fluxos. Instalação não testada; o verificador exige comparar manualmente o aviso RPM.
Verificado em: 2026-10-22 03:29:00 UTC · Fonte do fornecedor ↗
Atualizar → Reiniciar → Verificar
Este ambiente não foi testado; não publicamos comandos executáveis de atualização. Faça backup e testes, siga o fornecedor, reinicie o PHP e confira a revisão completa.
Abrir instruções do fornecedor ↗rocky-linux · Rocky Linux 8 · php:7.4
Rocky Linux 8 AppStream publica a correção adaptada da vulnerabilidade PHP para php:7.4 no RLSA-2026:87080, cobrindo ambos os CVEs. Baixamos os RPMs CLI, common e FPM para x86_64 e aarch64 e conferimos os hashes com os metadados oficiais dos pacotes e do aviso. Expanda as revisões completas; isso não confirma outras séries, versões do sistema ou AlmaLinux. Não testamos instalação nem reinícios; o verificador não compara essas revisões RPM automaticamente.
Verificado em: 2026-10-22 04:44:41 UTC · Fonte do fornecedor ↗
Atualizar → Reiniciar → Verificar
Este ambiente não foi testado; não publicamos comandos executáveis de atualização. Faça backup e testes, siga o fornecedor, reinicie o PHP e confira a revisão completa.
Abrir instruções do fornecedor ↗Vulnerabilidade PHP: se ainda não puder atualizar
A mitigação não corrige totalmente esta Vulnerabilidade PHP. Desativar o progresso de upload de sessões reduz apenas caminhos confirmados de CVE-2026-109619; não corrige CVE-2026-109618 nem exclui outros caminhos de estado residual.
session.upload_progress.enabled = OffAplique o ajuste na configuração do runtime web antes de processar as requisições e reinicie todos os processos. Não dependa de ini_set() nem do .user.ini do FPM. O recurso de progresso de upload de sessões do PHP será desativado.
cleanup, strict_mode, only_cookies e HttpOnly são ajustes de sessão, não provas de correção dessas CVE. O aviso também aborda limites de requisição, memória e rastros de erro; remover o limite de memória pode esgotar recursos. Avalie as condições e o impacto operacional antes de alterar outros ajustes.
Verificado em: 2026-10-21 23:25:00 UTC
Verificações após corrigir esta Vulnerabilidade PHP
Teste requisições críticas, login, uploads, logs, tarefas e processos em segundo plano. Reinicie todos os processos PHP web e confira cada site. Registre o repositório e a revisão completa; planeje a migração das séries EOL.
Verificar versão →Perguntas frequentes
Por que a versão parece antiga após corrigir a vulnerabilidade PHP?
Fornecedores costumam adaptar o patch à série anterior sem mudar o número curto. Compare revisão completa e repositório com o aviso e confira o runtime web.
Atualizar o PHP do terminal atualiza o site?
Nem sempre. Terminal, PHP-FPM e painel podem usar binários diferentes. Após corrigir a vulnerabilidade PHP, confira o runtime atribuído a cada domínio.
Preciso reiniciar os processos PHP?
Sim. Siga o procedimento do fornecedor para FPM, Apache e processos de longa duração. Instalar um pacote não comprova que todos os processos carregaram a nova versão.