Pular para o conteúdo principal

Runtimes web baseados em PHP (CVE-2026-109618 e CVE-2026-109619)

Trata-se de um problema em andamento. As informações estão sujeitas a alterações. Consulte este boletim para obter as informações mais atualizadas sobre a aplicação de patches.

ID do boletim: 2026-143-AWS
Escopo: AWS
Tipo de conteúdo: importante (requer atenção)
Data de publicação: 21/10/2026 14:30 PDT
Data da última atualização: 30/10/2026 13:15 PDT

Resumo:

Dois problemas críticos foram identificados nos runtimes web baseados em PHP (CVE-2026-109618 e CVE-2026-109619) que podem permitir que um agente não autenticado execute código nos sistemas afetados. Um chamador remoto pode enviar requisições web manipuladas aos workers PHP afetados e executar código arbitrário, ler dados acessíveis pelo processo ou causar negação de serviço.

Os serviços da AWS não foram afetados por esses problemas. Os clientes que usam as versões afetadas do PHP nos serviços listados abaixo podem ser afetados e devem revisar as orientações fornecidas.

Versões afetadas:

  • PHP 8.5: Versões afetadas 8.5.0 a 8.5.11 · Primeira versão corrigida: 8.5.12
  • PHP 8.4: Versões afetadas 8.4.0 a 8.4.26 · Primeira versão corrigida: 8.4.27
  • PHP 8.3: Versões afetadas 8.3.0 a 8.3.35 · Primeira versão corrigida: 8.3.36
  • PHP 8.2: Versões afetadas 8.2.0 a 8.2.34 · Primeira versão corrigida: 8.2.35
  • PHP 5.4 a 8.1: Nenhuma correção upstream lançada. Fim da vida útil e sem correção planejada. É necessária a migração para uma ramificação compatível.

Impacto:

Esse problema é acessível remotamente por um agente sem autenticação por meio da fronteira entre a internet e a aplicação do cliente, o que pode resultar em execução de código, acesso não intencional a dados acessíveis pelo processo ou negação de serviço no worker PHP alvo. O problema está vinculado ao worker afetado e às suas permissões no nível da aplicação; nenhuma propagação entre clientes foi estabelecida até o momento.

Status atual de mitigação:

  • Amazon EMR: os clusters do Amazon EMR no EC2 lançados com o Ganglia incluído no conjunto de aplicações foram afetados, especificamente as versões 4.2.0 a 5.29.0 e 5.30.0 a 6.15.0 do EMR. O Amazon EMR no EKS e o Amazon EMR Sem Servidor não foram afetados em nenhuma versão. No Amazon EMR no EC2, os clusters que executam a versão 7.0.0 ou posterior e os clusters lançados sem o Ganglia instalado também não foram afetados. Para as versões afetadas, os clientes que estão lançando novos clusters devem omitir o Ganglia quando não for necessário. Sempre que possível, os clientes devem fazer o upgrade para o EMR 7.x, que não inclui mais o Ganglia, e usar o Amazon CloudWatch Agent para telemetria e monitoramento.

  • Amazon WorkMail: a AWS aplicou controles em nível de configuração e concluiu a atualização para o PHP 8.3.36. Não é necessária nenhuma ação por parte do cliente.

  • AWS Elastic Beanstalk: a AWS lançou versões atualizadas da plataforma PHP para todas as versões compatíveis do PHP (8.2 a 8.5) contendo a correção do PHP upstream. Os clientes com a opção Atualizações gerenciadas da plataforma habilitadas receberão a atualização automaticamente durante a próxima janela de manutenção. Os clientes que não tiverem a opção Atualizações gerenciadas de plataforma habilitada devem atualizar a versão da plataforma do ambiente seguindo a documentação: PHP 8.5/8.4 e PHP 8.3/8.2.

  • AWS Lambda: o AWS Lambda não fornece um runtime de PHP gerenciado. Os clientes que implantaram o PHP como um runtime personalizado ou uma imagem de contêiner são responsáveis por atualizar a versão do PHP usada em suas funções. Recomendamos atualizar para uma versão corrigida do PHP o mais rápido possível e reimplantar suas funções. Para obter orientação sobre como criar e manter runtimes personalizados, consulte a documentação do AWS Lambda. Se você usa o projeto Bref de terceiros para executar o PHP no Lambda, a Bref publicou uma versão de segurança contendo camadas atualizadas e imagens do Docker com as versões corrigidas do PHP. Siga a versão de segurança do Bref para obter instruções de atualização.

  • Amazon Linux: pacotes PHP atualizados estão disponíveis para todas as regiões. Os clientes que executam o PHP no Amazon Linux deverão aplicar os pacotes atualizados assim que estiverem disponíveis. Consulte CVE-2026-109618 e CVE-2026-109619 na Central de Segurança do Amazon Linux para obter detalhes.

  • Amazon Lightsail: os esquemas atualizados do Lightsail agora estão disponíveis em todas as regiões. A AWS não realiza a atualização direta de instâncias do Lightsail que estejam em execução. Os clientes que executam workloads do PHP no Lightsail devem criar novas instâncias de esquemas atualizados e migrar suas aplicações seguindo a documentação.

  • AWS CodeBuild: a AWS lançará imagens curadas atualizadas do CodeBuild com o PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12 a partir de 30 de outubro de 2026. Os clientes cujos projetos usam a imagem curada mais recente receberão a atualização na próxima compilação sem a necessidade de nenhuma ação. Os clientes que fixaram uma versão específica de imagem devem atualizar para a versão de imagem mais recente, e os clientes que criam imagens personalizadas de uma imagem curada do CodeBuild devem recriá-las. O PHP 8.1 e versões anteriores estão em fim de vida útil e não têm nenhuma correção planejada; os clientes que selecionarem essas versões em seu buildspec devem migrar para uma versão do PHP com suporte.
    O CodeBuild não executa servidores PHP como parte do serviço de compilação; esses problemas são relevantes somente para compilações que iniciam um servidor PHP. Para ver as imagens disponíveis e as versões de runtime, consulte Docker images provided by CodeBuild.

Orientação de mitigação:

  • Atualizar imediatamente para uma versão corrigida do PHP é a única correção completa: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. As alterações de configuração abaixo podem reduzir o impacto para clientes que não podem atualizar imediatamente, mas nenhuma é uma mitigação completa.

  • Consulte Security advisory: Critical remote code execution vulnerabilities, update now para mitigações adicionais.

  • Runtimes de fim de vida útil 5.4 a 8.1: aplique controles de configuração intermediários para a vulnerabilidade CVE-2026-109619 quando forem aplicáveis, reinicie os workers do PHP e inicie a migração para uma ramificação do PHP com suporte e corrigida imediatamente. Nenhuma correção está disponível para a vulnerabilidade CVE-2026-109618 em ramificações em fim de vida útil.

  • Controles de compensação se estiver usando o AWS WAF:
    A aplicação de patches é a única correção completa, e os clientes devem atualizar o PHP como sua primeira prioridade. Como a aplicação de patches em uma frota leva tempo, recomendamos revisar esta publicação do blog, que mostra como usar o AWS Web Application Firewall (AWS WAF) para ajudar a reduzir a exposição durante essa janela. Observe que este blog será atualizado com as alterações nas orientações do AWS WAF à medida que a situação evoluir.

    Estamos atualizando continuamente o grupo de regras gerenciadas do AWS WAF para PHP para adicionar proteção contra as vulnerabilidades CVE-2026-109618 e CVE-2026-109619. Os clientes que usam a versão padrão serão protegidos automaticamente sem nenhuma ação de sua parte. Os clientes que fixaram uma versão específica devem atualizar para a versão mais recente para receber essa proteção. Para obter a versão mais recente e os detalhes sobre as regras adicionadas, consulte o Histórico de alterações das regras gerenciadas do AWS WAF e assine o tópico do SNS do AWS Managed Rules.

Referências:


Envie um e-mail para aws-security@amazon.com  com qualquer dúvida ou preocupação relacionada à segurança.