PHP 5.4 a 5.6: correção retroportada para a falha OOM do PHP2Shell (CVE-2026-109618)

O que aconteceu e o que fazer

Em 26 de outubro de 2026, Peter Wolanin publicou na lista oss-sec uma mensagem sobre a correção retroportada para a vulnerabilidade de esgotamento de memória (OOM) do PHP2Shell, identificada como CVE-2026-109618, que afeta as versões PHP 5.4 a 5.6. Segundo a mensagem, o arquivo de pacotes PPA da Ondrej usado pelo autor já tinha, no mesmo dia, uma correção retroportada para PHP 5.6. Peter também pergunta se alguém comparou essa correção com outras disponíveis, o que mostra que ainda não há consenso sobre qual backport é confiável.

Para uma empresa que ainda roda PHP 5.4 a 5.6, o caso pede um inventário de versões em produção, incluindo servidores legados e imagens de contêiner, para saber onde a exposição existe. Em seguida, vale validar qualquer pacote de correção vindo de fonte de terceiros: comparar o código alterado com o patch oficial do CVE, testar em ambiente de homologação e manter um registro de origem e hash dos pacotes aplicados. Também é útil um monitoramento de avisos de segurança e de versões EOL para decidir entre migrar a versão suportada ou aplicar uma correção controlada.

Como a consultoria pode ajudar

Diagnóstico da exposição a PHP 5.4 a 5.6 no ambiente do cliente, com levantamento de versões, dependências e fontes de pacotes. Depois, uma proposta escopada para validar correções de terceiros, automatizar a aplicação em homologação e criar monitoramento de avisos e de versões sem suporte.

Próximo passo

Se a sua empresa ainda opera PHP 5.4 a 5.6, envie uma descrição breve do seu ambiente, das versões em uso e de como os pacotes são instalados. A Wendelmaques responde com uma proposta escopada para diagnóstico, correção controlada e plano de migração.