Site e painel do cliente atualizados em 14 minutos, servidores de hospedagem web em 27 minutos: veja como reagimos às atualizações do PHP de 21 de outubro.
Quando se trata de vulnerabilidades de segurança, cada hora conta! ⚡️ Em 21 de outubro de 2026, o projeto PHP lançou atualizações de segurança para duas vulnerabilidades críticas (CVE-2026-109618 e CVE-2026-109619). Em determinadas condições, elas poderiam permitir que invasores executassem código próprio remotamente em um servidor web com PHP. Isso não é um problema específico da ZAP-Hosting: o PHP está por trás de uma grande parte da internet, e as vulnerabilidades afetam sites e servidores web em todo o setor de hospedagem.
- Tipo de vulnerabilidade: execução remota de código (Remote Code Execution), ou seja, a execução de código de terceiros no servidor por meio de uma solicitação preparada para esse fim.
- Corrigidas em: PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
- Sem correção: o projeto PHP não fornece mais atualizações de segurança para o PHP 8.1 e versões anteriores, portanto, essas vulnerabilidades também não serão corrigidas nessas versões.
O lançamento das atualizações havia sido anunciado com antecedência. Nossa equipe de infraestrutura aproveitou esse tempo para identificar os sistemas que usam PHP: do nosso site e painel do cliente aos servidores de hospedagem web, passando pelas interfaces do phpMyAdmin dos nossos produtos de banco de dados e pelos serviços internos. Antes do lançamento, aplicamos medidas temporárias de proteção e ativamos regras de filtragem adicionais na borda da nossa rede. Assim, o vetor de ataque conhecido já estava limitado antes da disponibilização da correção.
Como tudo estava preparado, agimos rapidamente após o lançamento: nosso site e painel do cliente estavam na nova versão em cerca de 15 minutos, e os servidores de hospedagem web, em pouco menos de meia hora. Mesmo sob pressão, seguimos cada etapa com cuidado e testamos cada alteração antes de aplicá-la. Nossos demais sistemas foram atualizados ainda no mesmo dia.
Migramos para o PHP 8.2 os ambientes de hospedagem web que ainda usavam o PHP 7.4, 8.0 ou 8.1, pois não há correções para essas versões antigas. Informamos os clientes por meio de um aviso de serviço no painel do cliente e por e-mail. A maioria dos sites continua funcionando sem nenhuma alteração. Se sua aplicação precisar de ajustes para a versão mais recente do PHP, nossa equipe de suporte terá prazer em ajudar.
Nossas atualizações cobrem os serviços que administramos para você. No seu próprio VPS, em um Servidor Dedicado ou em qualquer outro sistema que você gerencie por conta própria, a responsabilidade pelo software instalado é sua, seja o sistema hospedado conosco, com outro provedor ou na sua casa. Se houver PHP em algum lugar, por exemplo, para um site, fórum, painel ou em um contêiner Docker, verifique agora:
- Verifique qual versão do PHP está sendo executada no seu servidor. As versões corrigidas são 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou posteriores.
- Instale as atualizações usando o gerenciador de pacotes do seu sistema operacional.
- Contêineres Docker com PHP: baixe as imagens mais recentes ou crie-as novamente e reinicie os contêineres. Uma atualização no sistema host não atualiza o PHP dentro do contêiner.
- Reinicie o PHP-FPM ou o servidor web depois da atualização para garantir que os processos em execução estejam usando a nova versão.
- Se ainda estiver usando o PHP 8.1 ou uma versão anterior, planeje a migração para uma versão com suporte. Essas versões não receberão mais correções.
Este não é um caso isolado. Em agosto, protegemos nossa infraestrutura KVM contra o Zapscape e o Januscape, duas vulnerabilidades que, em determinadas condições, poderiam permitir que uma máquina virtual escapasse do seu isolamento. O princípio é sempre o mesmo: avaliar rapidamente, proteger de imediato e aplicar a correção assim que uma versão estável estiver disponível. A pesquisa em segurança nunca para — e nosso trabalho para manter os serviços seguros também não.
Fonte preferida no Google
