{"id":842431,"date":"2026-10-22T11:49:18","date_gmt":"2026-10-22T11:49:18","guid":{"rendered":"https:\/\/www.knowband.com\/blog\/?p=842411\/"},"modified":"2026-10-22T11:58:28","modified_gmt":"2026-10-22T11:58:28","slug":"vulnerabilidades-cr%c3%adticas-do-php-outubro-de-2026-o-que-todo-propriet%c3%a1rio-de-loja-prestashop-deve-fazer-agora","status":"publish","type":"post","link":"https:\/\/www.knowband.com\/blog\/pt-br\/noticia\/vulnerabilidades-cr%c3%adticas-do-php-outubro-de-2026-o-que-todo-propriet%c3%a1rio-de-loja-prestashop-deve-fazer-agora\/","title":{"rendered":"Vulnerabilidades cr\u00edticas do PHP (outubro de 2026): O que todo propriet\u00e1rio de loja PrestaShop deve fazer agora"},"content":{"rendered":"

Leia isto primeiro. O PHP lan\u00e7ou corre\u00e7\u00f5es em 21 de outubro para duas falhas cr\u00edticas. Se sua loja estiver rodando em uma vers\u00e3o do PHP sem as corre\u00e7\u00f5es, um invasor poder\u00e1 executar c\u00f3digo no servidor sem precisar fazer login. Nenhuma dessas falhas est\u00e1 presente no PrestaShop. Hoje, voc\u00ea precisa de tr\u00eas informa\u00e7\u00f5es: qual vers\u00e3o do PHP est\u00e1 em execu\u00e7\u00e3o, se sua hospedagem aplicou a corre\u00e7\u00e3o (obtenha a confirma\u00e7\u00e3o por escrito) e se o PHP foi reiniciado desde ent\u00e3o.<\/p>\n

A maioria das not\u00edcias de seguran\u00e7a se concentra em plugins ou temas, e a solu\u00e7\u00e3o \u00e9 um bot\u00e3o com o r\u00f3tulo “Atualizar”. Este caso \u00e9 diferente. O problema est\u00e1 no mecanismo da sua loja, e a solu\u00e7\u00e3o est\u00e1 no servidor, fora do alcance do painel administrativo. \u00c9 por isso que \u00e9 f\u00e1cil passar despercebido, e \u00e9 por isso que voc\u00ea precisa dedicar uma tarde para corrigi-lo com calma e de forma sistem\u00e1tica.<\/span><\/p>\n

Como isso aconteceu<\/b><\/h2>\n

A equipe do PHP alertou em 20 de outubro sobre a chegada de atualiza\u00e7\u00f5es de seguran\u00e7a. Elas foram descobertas em 21 de outubro e receberam os n\u00fameros CVE-2026-109618 e CVE-2026-109619. Ambas as vulnerabilidades t\u00eam pontua\u00e7\u00e3o 9.2 na escala CVSS v4.0, s\u00e3o consideradas bastante cr\u00edticas e ganharam o apelido de “php2shell”. Um alerta conjunto foi emitido pela Comiss\u00e3o Europeia (DG CNECT), ENISA, CERT-EU, Europol EC3 e a rede CSIRTs.<\/span><\/p>\n

A Comiss\u00e3o Europeia (DG CNECT), a ENISA, o CERT-EU, a Europol EC3 e a Rede CSIRTs emitiram ent\u00e3o uma declara\u00e7\u00e3o conjunta instruindo as organiza\u00e7\u00f5es a agirem. <\/span><\/p>\n

Vers\u00f5es corrigidas: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.<\/span><\/p>\n

O que est\u00e1 realmente quebrado?<\/b><\/h2>\n

\"\"<\/a><\/p>\n

Ambas as falhas podem resultar na execu\u00e7\u00e3o remota de c\u00f3digo sem autentica\u00e7\u00e3o. Traduzindo: um desconhecido na internet poderia fazer com que seu servidor executasse suas instru\u00e7\u00f5es.<\/span><\/p>\n

A vulnerabilidade CVE-2026-109618 est\u00e1 relacionada a um problema de gerenciamento de mem\u00f3ria. Imagine que o PHP esteja construindo o espa\u00e7o de trabalho para uma requisi\u00e7\u00e3o recebida e o servidor fique sem mem\u00f3ria no meio do processo. O PHP para, mas a rotina de limpeza subsequente assume que o espa\u00e7o de trabalho incompleto est\u00e1 completo e continua a process\u00e1-lo.<\/span><\/p>\n

A vulnerabilidade CVE-2026-109619 est\u00e1 mais relacionada a um problema persistente. Algo que pertencia a uma requisi\u00e7\u00e3o permanece ativo ap\u00f3s a libera\u00e7\u00e3o da mem\u00f3ria, e uma requisi\u00e7\u00e3o posterior no mesmo processo pode acess\u00e1-lo e confiar nele.<\/span><\/p>\n

Observe onde ambos residem: dentro do PHP. O PrestaShop n\u00e3o \u00e9 o culpado e n\u00e3o pode se defender contra isso, j\u00e1 que o ataque pode ocorrer antes mesmo da execu\u00e7\u00e3o de uma \u00fanica linha de c\u00f3digo do PrestaShop. Portanto, uma atualiza\u00e7\u00e3o de m\u00f3dulo ou do n\u00facleo n\u00e3o altera nada nesse caso. <\/span>A atualiza\u00e7\u00e3o do PHP resolve o problema.<\/b><\/p>\n

De quem \u00e9 o problema?<\/b><\/h2>\n

Todas as formas de executar PHP na web est\u00e3o em quest\u00e3o: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. O Apache com mod_php \u00e9 o pior caso, pois o ataque pode ocorrer antes de qualquer c\u00f3digo da aplica\u00e7\u00e3o.<\/span><\/p>\n

O que voc\u00ea precisa fazer depende do seu ambiente de hospedagem e de quem gerencia sua instala\u00e7\u00e3o do PHP:<\/p>\n\n\n\n\n\n\n\n\n
Ambiente de hospedagem<\/th>\nQuem gerencia o PHP?<\/th>\nA\u00e7\u00e3o recomendada<\/th>\n<\/tr>\n<\/thead>\n
Alojamento Web<\/td>\nSeu provedor de hospedagem<\/td>\nEntre em contato com seu provedor de hospedagem e solicite a confirma\u00e7\u00e3o de que as corre\u00e7\u00f5es de seguran\u00e7a relevantes do PHP foram aplicadas ao seu ambiente.<\/td>\n<\/tr>\n
VPS ou Servidor Dedicado<\/td>\nVoc\u00ea ou o administrador do sistema<\/td>\nInstale as atualiza\u00e7\u00f5es de seguran\u00e7a apropriadas para a sua vers\u00e3o do PHP ou pacote do sistema operacional e, em seguida, reinicie os servi\u00e7os PHP relevantes, se necess\u00e1rio.<\/td>\n<\/tr>\n
Docker ou hospedagem em cont\u00eaineres<\/td>\nA equipe respons\u00e1vel pela imagem do cont\u00eainer<\/td>\nRecrie a imagem usando uma imagem base PHP com as corre\u00e7\u00f5es de seguran\u00e7a aplic\u00e1veis \u200b\u200be, em seguida, reimplemente e verifique o ambiente em execu\u00e7\u00e3o.<\/td>\n<\/tr>\n
Vers\u00f5es PHP antigas ou n\u00e3o suportadas<\/td>\nSeu provedor de hospedagem ou administrador do servidor<\/td>\nVerifique se existe uma vers\u00e3o compat\u00edvel com as corre\u00e7\u00f5es de seguran\u00e7a do fornecedor. Caso contr\u00e1rio, planeje a migra\u00e7\u00e3o para uma vers\u00e3o do PHP suportada ap\u00f3s verificar a compatibilidade com sua loja, tema e m\u00f3dulos.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Sua lista de tarefas para hoje.<\/b><\/h2>\n
    \n
  1. Consulte a vers\u00e3o do PHP.<\/b> Back Office, Par\u00e2metros Avan\u00e7ados, Informa\u00e7\u00f5es.<\/span><\/li>\n
  2. Escreva para o seu anfitri\u00e3o.<\/b> Basta perguntar diretamente: “Nossos servidores foram corrigidos para as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 e todos os nossos processos PHP foram reiniciados?” Anote a resposta. Dica: Algumas distribui\u00e7\u00f5es aplicam a corre\u00e7\u00e3o silenciosamente, mantendo o n\u00famero da vers\u00e3o inalterado; portanto, a idade do n\u00famero da vers\u00e3o n\u00e3o pode ser usada para determinar se o servidor \u00e9 vulner\u00e1vel ou n\u00e3o.<\/span><\/li>\n
  3. Atualize e reinicie.<\/b> Use uma vers\u00e3o corrigida ou um pacote com patch do fornecedor. Reinicie todos os processos PHP. Reiniciar \u00e9 uma etapa que as pessoas esquecem. No Docker, reconstrua as imagens.<\/span><\/li>\n
  4. Em PHP 8.1 ou inferior?<\/b> O projeto PHP publicou corre\u00e7\u00f5es m\u00ednimas para as vers\u00f5es 7.4, 8.0 e 8.1, e muitas distribui\u00e7\u00f5es Linux e fornecedores de LTS incluem pacotes com essas corre\u00e7\u00f5es. Verifique se a sua distribui\u00e7\u00e3o oferece esse tipo de pacote. De qualquer forma, comece a planejar a migra\u00e7\u00e3o para uma vers\u00e3o com suporte.<\/span><\/li>\n
  5. Considere o PrestaShop em seguida.<\/b> Escolha uma vers\u00e3o que seja compat\u00edvel com a sua vers\u00e3o do PHP (tabela abaixo). Isso deve ser feito ap\u00f3s a aplica\u00e7\u00e3o do patch, n\u00e3o antes.<\/span><\/li>\n<\/ol>\n

    Ainda n\u00e3o consegue corrigir? As diretrizes da UE sugerem uma op\u00e7\u00e3o: isolar o aplicativo exposto da rede p\u00fablica at\u00e9 que o problema seja resolvido. Uma medida dr\u00e1stica para uma loja, sem d\u00favida. Mesmo assim, vale a pena t\u00ea-la como alternativa.<\/span><\/p>\n

    Solu\u00e7\u00f5es provis\u00f3rias enquanto voc\u00ea espera<\/b><\/h2>\n

    A posi\u00e7\u00e3o oficial do PHP \u00e9 que nenhuma mitiga\u00e7\u00e3o \u00e9 completa e a atualiza\u00e7\u00e3o \u00e9 a \u00fanica op\u00e7\u00e3o segura. Considere tudo nesta se\u00e7\u00e3o como uma forma de reduzir a exposi\u00e7\u00e3o por alguns dias, nada mais.<\/span><\/p>\n