ncsc-nl/php2shellRepositório de avisos operacionais que acompanha as falhas de RCE em PHP CVE-2026-109618 e CVE-2026-109619, com orientações de deteção e mitigação, inventários de software afetado e atualizações do estado dos fornecedores.
Informação operacional, última alteração significativa: 21 de outubro de 2026 17:25 CEST Última atualização de estado da lista de software: 22 de outubro de 2026 17:23 CEST TLP:CLEAR
Este repositório contém informação operacional sobre as vulnerabilidades críticas do PHP acompanhadas pelo CERT-EU como CVE-2026-109618 e CVE-2026-109619.
O PHP é uma linguagem de scripting do lado do servidor de código aberto amplamente utilizada, pelo que estas vulnerabilidades podem afetar uma vasta gama de aplicações web expostas à internet e produtos que incorporam ou dependem do PHP.
A 21 de outubro de 2026, o PHP publicou versões corrigidas para CVE-2026-109618 e CVE-2026-109619: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O PHP afirma que ambas as vulnerabilidades podem permitir execução remota de código não autenticada e que todas as instalações de PHP que servem pedidos web estão em risco, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O PHP considera o risco mais elevado para mod_php, onde um pedido não autenticado pode desencadear a exploração antes de o código da aplicação ser executado.
O PHP descreve CVE-2026-109618 como execução remota de código através de corrupção por falta de memória durante a limpeza do pedido, e CVE-2026-109619 como execução remota de código através de estado global obsoleto pertencente ao pedido reutilizado por um pedido posterior no mesmo worker. O PHP 8.1 e anteriores já não são suportados pelo projeto PHP; as distribuições e os fornecedores de LTS podem fornecer pacotes com backport, e o PHP publicou backports mínimos do código-fonte para PHP 7.4, 8.0 e 8.1.
O impacto não se limita a websites: o PHP também está incorporado em appliances, dispositivos de rede, interfaces de gestão e outros produtos de fornecedores onde os administradores podem não conseguir atualizar o PHP diretamente.
session.upload_progress, reiniciar os workers e rever as orientações oficiais sobre memory_limit, post_max_size e fatal_error_backtraces do PHP 8.5. O PHP afirma que estas medidas não são correções completas.Para informação adicional, ver:
| Diretório | Finalidade |
|---|---|
| detection_mitigation | Contém material de deteção e mitigação para as vulnerabilidades. |
| software | Contém listas de inventário de produtos de software com uma dependência de PHP potencialmente afetada pelas vulnerabilidades. |
| tools | Contém ferramentas para utilizar/gerar ficheiros dentro deste repositório |
Tenha em atenção que este repositório não está completo e está atualmente a ser ampliado.
| Data e hora | Fornecedor | Produto | Versão (ver Status) | Status CVE-2026-109618 | Status CVE-2026-109619 | Notas | Links |
|---|---|---|---|---|---|---|---|
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiADC Manager | Em investigação | Em investigação | Avaliação de CVE: o Fortinet PSIRT FG-IR-26-186 lista o produto como em investigação; versões afetadas/corrigidas ainda não publicadas O aviso do Fortinet PSIRT FG-IR-26-186 lista o FortiADC Manager como em investigação para CVE-2026-109618 e CVE-2026-109619. | fonte | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiClient Cloud Services | Em investigação | Em investigação | Avaliação de CVE: o Fortinet PSIRT FG-IR-26-186 lista o produto como em investigação; versões afetadas/corrigidas ainda não publicadas O aviso do Fortinet PSIRT FG-IR-26-186 lista o FortiClient Cloud Services como em investigação para CVE-2026-109618 e CVE-2026-109619. | fonte | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiDDoS | Em investigação | Em investigação | Avaliação de CVE: o Fortinet PSIRT FG-IR-26-186 lista o produto como em investigação; versões afetadas/corrigidas ainda não publicadas O aviso do Fortinet PSIRT FG-IR-26-186 lista o FortiDDoS como em investigação para CVE-2026-109618 e CVE-2026-109619. | fonte | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiDDoS-F | Em investigação | Em investigação | Avaliação de CVE: o Fortinet PSIRT FG-IR-26-186 lista o produto como em investigação; versões afetadas/corrigidas ainda não publicadas O aviso do Fortinet PSIRT FG-IR-26-186 lista o FortiDDoS-F como em investigação para CVE-2026-109618 e CVE-2026-109619. | fonte | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiEndpoint | Em investigação | Em investigação | Avaliação de CVE: o Fortinet PSIRT FG-IR-26-186 lista o produto como em investigação; versões afetadas/corrigidas ainda não publicadas O aviso do Fortinet PSIRT FG-IR-26-186 lista o FortiEndpoint como em investigação para CVE-2026-109618 e CVE-2026-109619. | fonte |
Consulte o histórico completo de atualizações do status do software.
Se você tiver informações adicionais relevantes para essas vulnerabilidades em PHP, fique à vontade para abrir um Pull request. É novo nisso? Leia como contribuir na documentação do GitHub.
Para atualizações da lista de softwares: nossa forte preferência é receber edições nos arquivos de origem SPDX em software/spdx/. As páginas da lista em Markdown são geradas automaticamente a partir desses arquivos. Caso isso se mostre difícil demais: não se preocupe. Tentaremos fazer o backport das edições nos arquivos .md para os arquivos de origem SPDX, mas sem qualquer garantia.