PHP 8.2.34, 8.3.35, 8.4.26 e 8.5.11 corrigem 11 falhas de segurança em SOAP, OpenSSL, FastCGI e outros
O que fazer
- Afeta
- PHP 8.2 a 8.5, antes da versão corrigida de cada série
- Quem faz
- Hospedagem e revenda: nada a fazer, a Rapid Cloud atualiza o PHPVPS e Cloud: você atualiza o PHP do servidor
- Ação
- Atualizar para a versão corrigida da sua série:8.2.348.3.358.4.268.5.11
- PrazoVPS e Cloud
- Até 01/10já passou7 dias após a publicação. Se ainda não atualizou o servidor, atualize agora.
- Exploração
- Pela internet · sem login · sem ação da vítima
Tenho VPS ou Cloud: como atualizar
- Atualize o PHP para a versão corrigida da sua série; no cPanel, pelos pacotes ea-php do EasyApache 4.
- Reinicie o PHP-FPM (ou o servidor web) para carregar a versão nova.
Comandos
- Atualizar
sudo dnf upgrade 'ea-php*'cPanel com EasyApache 4 - Conferir
php -v
Ficou com dúvida?Falar com o suporte
O que aconteceu
O PHP publicou 11 correções de segurança que afetam versões anteriores a 8.2.34, 8.3.35, 8.4.26 e 8.5.11. A mais grave (CVE-2026-91765, severidade alta) permite derrubar o processo do PHP com uma requisição SOAP muito aninhada. As demais envolvem verificação de certificados TLS, vazamento de credenciais em redirecionamentos HTTP, controle de acesso IPv6 no FastCGI, arquivos Phar, o cliente MySQL (mysqlnd) e nomes de dispositivos reservados no Windows. Preocupa principalmente quem administra o próprio servidor com PHP.
Gerado por IA a partir do aviso do fornecedor em . Em caso de divergência, vale o original.Ler na fonte (github.com)
Trecho do aviso original, em inglês
cleanup_xml_node() in the SOAP XML parser recurses once per XML nesting level with no depth limit. An unauthenticated attacker can post a SOAP request containing tens of thousands of nested elements to any SoapServer endpoint, exhaust the stack and crash the process. The same unbounded recursion exists in the SOAP value decoder and in the WSDL node search helper. cleanup_xml_node() walks the parsed document to…
Trecho curto, reproduzido para referência.Texto completo em github.com
Versões
| Série | Afetadas | Corrigida em |
|---|---|---|
| 8.5 | anterior à 8.5.11 | 8.5.11 |
| 8.4 | anterior à 8.4.26 | 8.4.26 |
| 8.3 | anterior à 8.3.35 | 8.3.35 |
| 8.2 | anterior à 8.2.34 | 8.2.34 |
Falhas corrigidas 11
Da mais grave para a menos grave. Títulos em inglês, como o fornecedor publicou.
- Alta7,5 SOAP: Unbounded Recursion in Server-Side cleanup_xml_nodeCVE-2026-91765 (abre o NVD)
- Média6,9 PHP on Windows: Reserved Device Names Are Not Rejected Before File/Stream I/O which can cause DoSCVE-2026-17545 (abre o NVD)
- Média6,5 IPv6 ACL bypass in FastCGI listen.allowed_clients due to partial address comparison (memcmp 12 bytes)CVE-2026-91768 (abre o NVD)
- Média6,5 Heap-buffer-overflow in php_openssl_matches_wildcard_name on crafted server cert wildcard CNCVE-2026-91767 (abre o NVD)
- Média6,5 Integer overflow to buffer overflow in soap HTTP parsingCVE-2025-14181 (abre o NVD)
Ver as outras 6 falhas
- Média5,9 OOB read / info leak in convert.* stream filters when line-break-chars contains NULCVE-2026-92842 (abre o NVD)
- Média5,9 Cross-origin credential leak in HTTP stream wrapper redirectsCVE-2026-91766 (abre o NVD)
- Média5,3 Out-of-bounds read in the HTTP stream wrapper when following a redirect with an empty Location headerCVE-2026-93682 (abre o NVD)
- Média4,3 TLS Hostname Verification Falls Back to CN After SAN MismatchCVE-2026-91769 (abre o NVD)
- Média4,0 Phar TAR phar_tar_number() Integer Overflow - Archive Entry InjectionCVE-2026-6103 (abre o NVD)
- Baixa3,1 Various packet overreads in mysqlnd_writeprotocol.cCVE-2025-1218 (abre o NVD)
O que são esses termos?
- CVE
- Código único de uma falha de segurança, como CVE-2026-12345. Serve para achar a mesma falha em qualquer fonte.
- CVSS
- Nota de 0 a 10 que mede a gravidade técnica de uma falha. De 9 a 10 é crítica; de 7 a 8,9, alta; de 4 a 6,9, média; abaixo de 4, baixa.
- Exploração
- Como a falha pode ser explorada: pela internet ou só com acesso ao servidor, com ou sem login, com ou sem ajuda de alguém.
- Prazo
- Prazo recomendado para quem precisa agir, contado da publicação. Crítica ou KEV: imediatamente; Alta: em até 7 dias; Média: em até 30 dias; Baixa: na próxima atualização de rotina; Sem nota oficial: em até 7 dias. Vale para o que é do site (WordPress e plugins) em qualquer plano e, no que é do servidor, só para VPS e Cloud: na hospedagem e na revenda, quem atualiza o servidor é a Rapid Cloud.