Segurança do PHP: correções na WordPane Cloud desde o primeiro dia

O que aconteceu com o PHP

Em 21 de outubro de 2026, o projeto PHP publicou correções para as vulnerabilidades CVE-2026-109618 e CVE-2026-109619. Ambas podem permitir execução remota de código sem autenticação em ambientes afetados.

O alerta abrange instalações que atendem requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O projeto PHP aponta o mod_php como o cenário de maior risco demonstrado. Por isso, a revisão precisa considerar o PHP utilizado pelo servidor, e não apenas o CMS instalado.

A resposta da WordPane Cloud

Desde o primeiro dia, levamos as correções aos servidores de clientes nas soluções WordPane Cloud. A atuação também contemplou o alerta complementar de 23 de outubro, identificado como CVE-2026-115560.

Esse trabalho acontece na camada que executa as aplicações. Atualizar o WordPress, um plugin ou um tema é uma tarefa diferente de corrigir o PHP do servidor. Cuidar das duas camadas faz parte da manutenção de um site.

Para quem mantém uma loja, um portal ou vários sites de clientes, essa resposta reduz a necessidade de acompanhar cada aviso técnico para solicitar o tratamento da infraestrutura à nossa equipe.

As correções de 21 de outubro e o alerta adicional

O comunicado de 21 de outubro lista PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 como versões com as correções das duas falhas iniciais. Distribuições Linux também podem entregar ajustes por pacotes com backports, preservando a numeração base. A conferência deve considerar o pacote do fornecedor.

Já o aviso de 23 de outubro trata de uma condição incomum envolvendo a configuração de sessões e o comportamento da aplicação. Ele não foi resolvido pelas atualizações do dia 21. Até a próxima versão regular, o projeto PHP orienta desativar session.upload_progress.enabled nos ambientes correspondentes e reiniciar os workers. Na data deste artigo, essa medida continua sendo relevante para o alerta complementar.

O que continua importante na sua aplicação

A correção do PHP trata as vulnerabilidades divulgadas nessa camada. A manutenção do código da aplicação e de seus componentes continua necessária.

• Mantenha o CMS, os plugins, os temas e as dependências atualizados.
• Revise contas administrativas e permissões de acesso.
• Mantenha cópias de recuperação e confira se elas podem ser restauradas.
• Investigue alterações inesperadas, novos arquivos ou erros fora do padrão.

Atualização de 30 de outubro: o que mudou no alerta

A atualização do Centro Canadense de Cibersegurança informa exploração ativa das CVE-2026-109618 e CVE-2026-109619 e sua inclusão no catálogo de vulnerabilidades exploradas da CISA em 26 de outubro. Isso reforça a prioridade de corrigir ambientes afetados. Não significa que um servidor específico tenha sido comprometido; essa conclusão exige investigação do próprio ambiente.

O alerta adicional CVE-2026-115560 tem condições próprias. A orientação de mitigação envolve session.upload_progress.enabled e o reinício dos workers, conforme o comunicado PHP. Uma lista de versões corrigidas para as duas primeiras falhas não deve ser usada como prova automática de tratamento da terceira. Consulte os avisos ligados a cada identificador.

Como conferir uma correção sem confundir CLI e aplicação

Um servidor pode manter várias versões PHP. O comando php -v no terminal informa a versão daquele executável; o site pode usar outro pool PHP-FPM ou outro módulo. A verificação precisa identificar a aplicação, sua versão selecionada, o serviço que atende HTTP e a versão do pacote instalado.

Distribuições podem aplicar backports: o número base parece antigo, mas o pacote incorpora o patch. Confronte o identificador completo do pacote com o aviso do fornecedor. Não publique uma página phpinfo acessível para demonstrar a correção: ela pode revelar caminhos, módulos e configurações desnecessariamente. Registre a conferência de forma restrita.

1. Identifique servidor, domínio, runtime web e responsável pela validação.
2. Confira o aviso do PHP e o pacote corrigido distribuído pelo fornecedor.
3. Confirme a atualização e o recarregamento ou reinício dos processos necessários.
4. Teste login, envio de arquivos, sessão e rotinas essenciais da aplicação.
5. Registre data, versão efetiva e evidências no chamado de manutenção.

Patch aplicado e investigação de incidente são trabalhos diferentes

Corrigir interrompe a exposição à falha tratada, mas não remove necessariamente alterações feitas antes da correção. Se houver indícios de invasão, preserve logs e examine arquivos, contas, tarefas agendadas e acessos. Restaurar um backup sem tratar a origem da exposição pode recolocar a mesma condição em produção.

Na WordPane, a confirmação sobre um servidor deve ser obtida pelo suporte com a identificação do ambiente. O artigo registra a resposta institucional já comunicada e as recomendações públicas; não substitui um laudo individual de integridade ou uma análise forense.

Dúvidas sobre o seu ambiente?

Se você é cliente e precisa confirmar o tratamento de um servidor específico, abra um chamado pelo painel e informe qual ambiente deseja consultar. Nossa equipe pode orientar a conferência conforme a configuração utilizada.

Este artigo registra nossa resposta ao episódio de outubro de 2026. As referências abaixo permitem acompanhar os comunicados originais e eventuais atualizações do projeto PHP.