PHP2Shell: pacotes corrigidos do PHP para o grommunio já estão disponíveis

Pacotes atualizados do PHP que mitigam as vulnerabilidades críticas PHP2Shell já estão disponíveis tanto na comunidade grommunio quanto nos repositórios com suporte. Recomendamos enfaticamente que você proteja seus sistemas agora.

O que é o PHP2Shell?

PHP2Shell é o nome dado a duas vulnerabilidades críticas no próprio ambiente de execução do PHP, CVE-2026-109618(opens in a new tab) e CVE-2026-109619, cada uma com classificação CVSS 9,2. Elas podem permitir que um invasor não autenticado execute código remotamente com uma única solicitação, antes mesmo que qualquer código de aplicativo seja executado. Isso significa que um servidor pode ficar exposto mesmo quando os aplicativos PHP nele instalados estiverem perfeitamente seguros.

• CVE-2026-109618: uma alocação interrompida por uma condição de falta de memória pode deixar os dados da solicitação parcialmente inicializados, e a limpeza da solicitação pode, então, tratar esses dados inválidos como válidos.
• CVE-2026-109619: o estado interno pertencente à solicitação pode permanecer ativo além da memória à qual aponta; assim, uma solicitação posterior no mesmo worker pode utilizá-lo antes que seja reinicializado.

Todas as instalações do PHP que atendem a solicitações da web são afetadas, incluindo o PHP-FPM, que o grommunio utiliza. Detalhes das falhas vazaram antes da data de divulgação coordenada, e pesquisadores de segurança já relataram tentativas de exploração em ambiente real. O PHP upstream lançou versões corrigidas (8.5.12, 8.4.27, 8.3.36 e 8.2.35) e afirma que a atualização é a única opção segura, pois as soluções alternativas disponíveis bloqueiam apenas algumas vias de ataque.

Leitura adicional: Help Net Security, The Hacker News, SecurityWeek e o FAQ do watchTower.

Como atualizar

A atualização requer apenas alguns comandos:

zypper ref
zypper up
zypper in php8-opcache
systemctl restart php-fpm

Em vez de zypper ref e zypper up, você também pode usar o atualizador web no grommunio Admin ou executar grommunio-update na linha de comando. De qualquer forma, reinicie o php-fpm depois: isso garante que todos os workers executem o binário PHP corrigido.

Nossos testes automatizados e um grande número de verificações manuais de validação não revelaram nenhum efeito colateral. Dito isso, nesta fase inicial, ninguém em lugar algum pode garantir que não haja nenhum. Todos os nossos testes foram bem-sucedidos, e as medidas de mitigação se mostraram eficazes em todas as nossas configurações de laboratório.

Bônus: uma interface web mais rápida com o OPcache

Há algum tempo, também é possível instalar o php8-opcache com o grommunio. O OPcache mantém o código PHP pré-compilado na memória, o que torna o grommunio Web visivelmente mais rápido. É por isso que o comando zypper in php8-opcache está incluído acima. Se você já o tiver instalado, o zypper simplesmente o ignora.

Pacotes fora da linha de atualização, antes das atualizações oficiais da SUSE

Esses pacotes são atualizações fora da linha oficial que nós mesmos compilamos e fornecemos, separadamente dos pacotes oficiais fornecidos pela SUSE. Graças à nossa infraestrutura de compilação e ao nosso pipeline de testes, conseguimos disponibilizá-los antes que as atualizações oficiais de manutenção da SUSE estivessem disponíveis. Temos orgulho disso e somos gratos à nossa equipe pela rapidez na execução.

Assim que a SUSE publicar seus próprios pacotes corrigidos do PHP, removeremos nossos pacotes provisórios dos repositórios grommunio para que os pacotes fornecidos pela SUSE voltem a ter prioridade. Como os pacotes em seu sistema passarão a ser de um fornecedor diferente (e possivelmente terão um número de versão inferior), o zypper não fará a troca de volta automaticamente. Quando chegar a hora, você precisará permitir a mudança de fornecedor explicitamente, por exemplo:

zypper ref
zypper up --allow-vendor-change --allow-downgrade
systemctl restart php-fpm

Anunciaremos quando essa etapa for necessária, juntamente com as instruções exatas.

Não está executando o grommunio no SUSE?

No Debian, Ubuntu e outras distribuições, o PHP vem da sua distribuição. Instale as atualizações de segurança do PHP fornecidas pela sua distribuição e reinicie o php-fpm em seguida.

Dúvidas?

Mais informações em breve. As discussões e as atualizações mais recentes estão em nossa comunidade. Clientes com assinatura podem entrar em contato diretamente com o suporte do grommunio.