PHP2Shell: pacotes PHP corrigidos para o grommunio já estão disponíveis

Estão agora disponíveis pacotes PHP atualizados que mitigam as vulnerabilidades críticas PHP2Shell, tanto na comunidade grommunio como nos repositórios suportados. Recomendamos vivamente que proteja os seus sistemas agora.

O que é o PHP2Shell?

PHP2Shell é o nome dado a duas vulnerabilidades críticas no próprio ambiente de execução do PHP, CVE-2026-109618(opens in a new tab) e CVE-2026-109619, cada uma com uma classificação CVSS 9,2. Estas vulnerabilidades podem permitir que um atacante não autenticado execute código remotamente com uma única solicitação, antes mesmo de qualquer código da aplicação ser executado. Isso significa que um servidor pode ficar exposto mesmo quando as aplicações PHP nele instaladas estão perfeitamente seguras.

• CVE-2026-109618: uma alocação interrompida por uma condição de falta de memória pode deixar os dados da solicitação parcialmente inicializados, e a limpeza da solicitação pode, então, tratar esses dados inválidos como válidos.
• CVE-2026-109619: o estado interno associado a uma solicitação pode permanecer ativo para além da memória a que aponta, pelo que uma solicitação posterior no mesmo worker pode utilizá-lo antes de ser reiniciado.

Todas as instalações de PHP que atendem a pedidos web são afetadas, incluindo o PHP-FPM, que o grommunio utiliza. Os detalhes das falhas foram divulgados antes da data de divulgação coordenada, e os investigadores de segurança já relataram tentativas de exploração em ambiente real. O projeto PHP lançou versões corrigidas (8.5.12, 8.4.27, 8.3.36 e 8.2.35) e afirma que a atualização é a única opção segura, uma vez que as soluções alternativas disponíveis bloqueiam apenas algumas vias de ataque.

Leitura adicional: Help Net Security, The Hacker News, SecurityWeek e as Perguntas Frequentes do watchTower.

Como atualizar

A atualização requer apenas alguns comandos:

zypper ref
zypper up
zypper in php8-opcache
systemctl restart php-fpm

Em vez de zypper ref e zypper up, também pode utilizar o atualizador web no grommunio Admin ou executar grommunio-update na linha de comandos. Seja como for, reinicie o php-fpm a seguir: isso garante que todos os workers executem o binário PHP corrigido.

Os nossos testes automatizados e um grande número de verificações manuais de validação não revelaram quaisquer efeitos secundários. Dito isto, nesta fase inicial, ninguém pode garantir que não existam. Todos os nossos testes foram bem-sucedidos e as medidas de mitigação revelaram-se eficazes em todas as nossas configurações de laboratório.

Bónus: uma interface web mais rápida com o OPcache

Já há algum tempo que também é possível instalar o php8-opcache com o grommunio. O OPcache mantém código PHP pré-compilado na memória, o que torna o grommunio Web visivelmente mais rápido. É por isso que o comando zypper in php8-opcache está incluído acima. Se já o tiver instalado, o zypper simplesmente ignora-o.

Pacotes fora da banda, antes das atualizações oficiais da SUSE

Estes pacotes são atualizações fora da linha oficial que nós próprios compilámos e disponibilizamos, separadamente dos pacotes oficiais fornecidos pela SUSE. Graças à nossa infraestrutura de compilação e ao nosso pipeline de testes, conseguimos disponibilizá-los antes de as atualizações oficiais de manutenção da SUSE estarem disponíveis. Estamos orgulhosos disso e gratos à nossa equipa pela rapidez na resposta.

Assim que a SUSE publicar os seus próprios pacotes PHP corrigidos, removeremos os nossos pacotes provisórios dos repositórios grommunio para que os pacotes fornecidos pela SUSE voltem a ter prioridade. Como os pacotes no seu sistema passarão a provir de um fornecedor diferente (e poderão ter um número de versão inferior), o zypper não voltará a alternar automaticamente. Quando chegar essa altura, terá de autorizar explicitamente a mudança de fornecedor, por exemplo:

zypper ref
zypper up --allow-vendor-change --allow-downgrade
systemctl restart php-fpm

Anunciaremos quando for necessário realizar esse passo, juntamente com as instruções exatas.

Não está a utilizar o grommunio no SUSE?

No Debian, Ubuntu e outras distribuições, o PHP provém da sua distribuição. Instale as atualizações de segurança do PHP fornecidas pela sua distribuição e, em seguida, reinicie o php-fpm.

Dúvidas?

Mais informações em breve. As discussões e as últimas atualizações encontram-se na nossa comunidade. Os clientes com uma subscrição podem contactar diretamente o apoio técnico do grommunio.