Falhas no PHP (CVE-2026-109618 e CVE-2026-109619): hospedagens e revendas já corrigidas

Todas as hospedagens e revendas cPanel e DirectAdmin, inclusive a Hospedagem Dedicada cPanel, já estão corrigidas e não precisam de nenhuma ação. Quem tem VPS, Cloud ou Servidor Dedicado e ainda não atualizou o PHP deve atualizar ou abrir um ticket para a nossa equipe fazer.

Resumo por produto

O que aconteceu

Em 21/10/2026, a equipe do PHP divulgou duas falhas de segurança críticas, a CVE-2026-109618 e a CVE-2026-109619 (CVSS 9,2). Elas permitem executar código no servidor por meio de requisições enviadas aos scripts PHP de um site, sem precisar de login, e afetam todos os modos de execução do PHP (LiteSpeed, PHP-FPM, mod_php e CGI). Já existe ferramenta pública de exploração, por isso a correção é urgente.

As versões corrigidas pelo PHP são a 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Para o 7.4, 8.0 e 8.1 não saiu versão nova: a equipe do PHP publicou a correção do código (backport), e cada fornecedor (CloudLinux, cPanel e DirectAdmin) aplicou nos próprios pacotes.

Hospedagem e Revenda: já corrigido

Vale para Hospedagem cPanel, Revenda cPanel, Hospedagem DirectAdmin, Revenda DirectAdmin e Hospedagem Dedicada cPanel.

• Em 21/10, ao longo da tarde e da noite, conforme os fornecedores liberavam os pacotes corrigidos, atualizamos todas as versões de PHP de todos os servidores, tanto as do Seletor de PHP da CloudLinux quanto as do próprio painel (cPanel e DirectAdmin), sem esperar a rotina automática de atualização.
• Conferimos versão por versão, no registro de alterações de cada pacote, que as duas falhas constam como corrigidas.
• Reiniciamos o servidor web e conferimos que nenhum processo continuou rodando a versão antiga.
• As versões de PHP continuam as mesmas, então não há impacto de compatibilidade e nenhum site precisou ser alterado.
• Como camada extra de proteção, o WAF do Imunify360 dos servidores recebeu as regras específicas para essas falhas.

A versão do meu PHP aparece como 8.2.34 (ou 8.3.35, 8.4.26). Está vulnerável?

Não. Em boa parte dos pacotes, o fornecedor (CloudLinux) aplicou a correção sobre a versão já instalada (backport), em vez de trocar para a versão nova. Por isso o número fica abaixo do lançamento oficial, mas a correção está dentro do pacote. Foi exatamente isso que conferimos no registro de alterações de cada um.

Única exceção: PHP 5.1 ou anterior

O fornecedor não publicou correção para o PHP 5.1 e anteriores do Seletor de PHP, versões com quase 20 anos e praticamente sem uso. Se o seu site ainda usa uma delas, troque para uma versão atual no Seletor de PHP do painel, ou abra um ticket que fazemos a troca.

VPS, Cloud e Servidor Dedicado

Nesses produtos, o software do servidor (sistema, painel e PHP) é atualizado por você.

• Se você abriu um ticket pedindo a atualização, ela já foi feita e conferida pela nossa equipe. Não precisa fazer mais nada.
• Se ainda não atualizou, faça a atualização o quanto antes seguindo os passos abaixo, ou abra um ticket pedindo para a nossa equipe fazer, com o IP ou o hostname do servidor. Antes de qualquer alteração, confirmamos que existe snapshot ou backup do servidor.
• Atualização automática ligada não garante a correção. Já encontramos servidores com os pacotes de PHP parados há meses mesmo com a rotina automática ativa. Confira com o comando abaixo.

1. Conferir (cPanel com AlmaLinux ou CloudLinux)

Rode como root. O comando lista cada versão de PHP instalada e quantas vezes as falhas aparecem no registro de alterações do pacote:

for p in $(rpm -qa --qf '%{NAME}\n' | grep -E '^(ea-php[0-9]+-php-common|alt-php[0-9]+-common)$' | sort); do echo "$p: $(rpm -q --changelog $p | grep -c -E 'CVE-2026-10961[89]')"; done

Cada linha com 0 é uma versão ainda sem a correção. Não se guie pelo número da versão (php -v): com backport, o número não muda.

Duas situações em que o 0 não vai sumir com a atualização, e a saída é trocar o site para uma versão atual:

• Sem CloudLinux, o cPanel só corrigiu do PHP 7.4 em diante. O ea-php73 e anteriores continuam sem correção.
• Com CloudLinux, o alt-php51 e anteriores não têm correção.

2. Atualizar (cPanel)

dnf update 'ea-php*'

Com CloudLinux, atualize também o Seletor de PHP:

dnf update 'alt-php*'

Se o servidor usa o Hardened PHP do Imunify360 e o dnf não encontrar nada para atualizar, tente:

dnf update 'ea-php*' --enablerepo=imunify360-ea-php-hardened

Rode a conferência do passo 1 de novo. Se alguma versão em uso continuar com 0, abra um ticket.

3. Reiniciar e conferir os processos

Reinicie o servidor web. No LiteSpeed:

/usr/local/lsws/bin/lswsctrl restart

No Apache com PHP-FPM:

/scripts/restartsrv_httpd && /scripts/restartsrv_apache_php_fpm

Depois, confira se sobrou processo PHP rodando o binário antigo:

for p in $(pgrep -f 'lsphp|php-fpm|php-cgi'); do readlink /proc/$p/exe; done | grep deleted

Se aparecer alguma linha, esses processos ainda estão com a versão antiga em memória: reinicie o servidor (reboot) para resolver de vez. Por fim, confira se os sites abrem normalmente. Se algum sair do ar, abra um ticket.

DirectAdmin

da build update

da build php

O da build php recompila todas as versões de PHP configuradas e pode levar dezenas de minutos, então rode dentro de um screen. Com CloudLinux, atualize também o Seletor de PHP com dnf update 'alt-php*'. Para conferir, o da build versions não deve mostrar nenhuma versão de PHP com atualização disponível.

Outros painéis (CWP, Webuzo, aaPanel) ou servidor sem painel

Depende do fornecedor de cada painel, e nem todos publicaram correção. Abra um ticket que avaliamos o seu servidor. Enquanto isso, uma medida paliativa reduz o risco, mas não substitui a correção: no php.ini de cada versão de PHP do servidor, defina

session.upload_progress.enabled = Off

e reinicie o PHP e o servidor web.

Precisa de ajuda?

Abra um ticket na central. Para VPS, Cloud e Servidor Dedicado, informe o IP ou o hostname do servidor.

Boletins oficiais

• PHP: registro de alterações do PHP 8
• CloudLinux: PHP CVE-2026-109618 and CVE-2026-109619