Queria contribuir com algo para este debate, porque acredito que há uma diferença técnica importante que não foi esclarecida suficientemente.
A resposta de
@banahosting.com de que
«o cPanel já foi atualizado» não demonstra necessariamente que as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 estejam corrigidas nas versões PHP que utilizam os sites hospedados.
Em nossas verificações com a
Banahosting, encontramos servidores com CloudLinux, LiteSpeed e EasyApache onde o PHP continua mostrando versões como 8.2.34, 8.3.35, 8.4.26 e 8.5.11, todas anteriores às versões corrigidas oficialmente pelo PHP.
Investigando, descobrimos que
o CloudLinux publicou suas próprias correções mediante backporting, incorporando os patches de segurança sem alterar o número da versão que o interpretador reporta.
Por exemplo, o PHP 8.4.26 pode estar corrigido mediante o pacote ea-php84-php-common-8.4.26-2.el8.cloudlinux.1.
Isso nos leva a duas reflexões:
1. Quem realizou realmente a correção?
Em servidores que utilizam CloudLinux com EA-PHP, a correção das versões PHP utilizadas pelos sites corresponde aos pacotes do CloudLinux. A atualização do cpanel-php84 é distinta e não constitui, por si só, evidência de que o PHP dos domínios esteja corrigido.
2. Como podemos auditar estas atualizações?
Embora o backporting seja uma prática válida e utilizada por distribuições empresariais, gera uma dificuldade importante para quem administra sites em hospedagem compartilhada com a
Banahosting.
Se o PHP continua se identificando como 8.4.26, como podemos demonstrar que realmente contém os patches, especialmente quando não temos acesso root nem podemos consultar os pacotes RPM instalados?
Considero que
os provedores deveriam acompanhar estas atualizações com informações verificáveis sobre as revisões exatas dos pacotes e os CVE corrigidos, em vez de se limitarem a indicar que o cPanel está atualizado. (opinião pessoal)
Não questiono a validade técnica do backporting. Minha inquietação está na rastreabilidade, na transparência e na possibilidade de realizar auditorias independentes e verificáveis para nossos clientes.
No final, quem administra infraestrutura e sites de clientes precisa de algo mais que uma versão visível de PHP ou uma confirmação genérica: precisamos de evidência de que as vulnerabilidades foram corrigidas no ambiente que realmente executa nossas aplicações.
De que maneira se pode confirmar quais revisões de EA-PHP e Alt-PHP estão instaladas e se incluem as correções para ambos os CVE?
Seria uma informação muito valiosa para todos os que administramos sites em servidores da
Banahosting.
Fonte oficial do CloudLinux:
https://cloudlinux.statuspage.io/incidents/zl0vt1yq3dj5
Atualização:
Para complementar o anterior, o CloudLinux publicou em
22 de outubro de 2026, às 14:31 UTC, (eu estava redigindo este post) uma atualização intitulada
"Why fixed alt-php and ea-php packages show an older PHP version", onde explica expressamente que as correções das vulnerabilidades CVE-2026-109618 e CVE-2026-109619 foram incorporadas mediante
backporting, mantendo o número anterior do PHP.
Por exemplo:
- PHP oficial corrigido: 8.4.27
- PHP mostrado pelo CloudLinux: 8.4.26
- Pacote EA-PHP corrigido: 8.4.26-2.el8.cloudlinux.1
Isso confirma que uma versão aparentemente vulnerável pode conter os patches, desde que corresponda à revisão corrigida do pacote.
O CloudLinux também recomenda verificar os CVE diretamente no histórico do pacote instalado:
rpm -q --changelog ea-php84-php-cli | grep -E 'CVE-2026-(109618|109619)'
Portanto, o ponto que considero importante esclarecer não é se o
backporting é válido, mas
como podemos verificar a partir de uma hospedagem compartilhada que realmente está instalada a compilação corrigida, especialmente quando não temos acesso a RPM nem privilégios administrativos.
