Como atualizar o PHP do CloudPanel contra os CVE-2026-109618 e CVE-2026-109619

Resumo: Para corrigir os CVE-2026-109618 e CVE-2026-109619 em um servidor CloudPanel, atualize os pacotes PHP oferecidos pelos repositórios configurados para o sistema, reinicie os serviços PHP-FPM usados pelos sites e confirme as versões instaladas. Verifique também o PHP-FPM interno do CloudPanel: ele pode usar uma versão diferente da atribuída aos sites.

Os CVE-2026-109618 e CVE-2026-109619 são falhas no runtime PHP. Atualizar o WordPress, um plugin ou outro aplicativo não corrige o PHP instalado no servidor. O PHP publicou versões corrigidas 8.2.35, 8.3.36, 8.4.27 e 8.5.12. No CloudPanel, a versão efetivamente disponível pode depender do sistema operacional, da arquitetura e do repositório configurado.

Este tutorial cobre servidores CloudPanel em Debian ou Ubuntu. Os comandos devem ser executados por SSH com uma conta que tenha privilégios de root ou por meio de sudo. Antes de começar, faça um backup recente e planeje a atualização em uma janela adequada para testar os sites e reiniciar os serviços.

Por que é preciso verificar o PHP dos sites e o PHP do painel?

O CloudPanel permite selecionar uma versão de PHP nas configurações de cada site. O Nginx encaminha as requisições PHP para o PHP-FPM correspondente à versão escolhida. Assim, um servidor pode ter várias versões instaladas e diferentes sites podem usar runtimes distintos.

O painel também possui um serviço PHP-FPM próprio, chamado clp-php-fpm. Atualizar os runtimes dos sites não garante que esse serviço interno tenha sido atualizado. Relatos na issue comunitária do CloudPanel mostraram essa diferença e registraram variações de disponibilidade conforme a distribuição e a arquitetura. Use o estado dos pacotes no seu servidor para confirmar a situação; não presuma que todas as instalações receberam as mesmas atualizações.

Requisitos e verificações antes da atualização

Registre a distribuição, a versão do CloudPanel e as versões PHP instaladas:

cat /etc/os-release
clpctl --version
dpkg-query -W -f='${binary:Package}\t${Version}\n' 'php*' 2>/dev/null | sort

Veja quais versões estão atribuídas aos sites na interface do CloudPanel. Abra cada site e confira PHP Settings, pois o valor padrão do comando php -v no SSH pode não corresponder ao runtime do domínio.

Atualize os índices do APT e consulte a versão instalada e a candidata dos FPM presentes. Ajuste a lista de versões ao servidor:

sudo apt update
apt-cache policy php8.2-fpm php8.3-fpm php8.4-fpm php8.5-fpm

Confira se a origem exibida corresponde aos repositórios configurados no seu servidor. Alguns servidores CloudPanel usam pacotes próprios do CloudPanel, e a prioridade APT pode fazer com que esses pacotes sejam preferidos aos da distribuição. Não adicione o repositório Sury nem altere prioridades APT sem um plano de migração e validação: isso muda a origem dos pacotes e pode afetar integrações do painel.

Atualize os pacotes PHP oferecidos ao CloudPanel

Primeiro, liste os pacotes PHP já instalados. O comando abaixo seleciona nomes iniciados por php, incluindo os pacotes de versões instaladas e extensões:

mapfile -t PHP_PACKAGES < <(
  dpkg-query -W -f='${binary:Package}\n' 'php*' 2>/dev/null |
  grep -E '^php([0-9]+\.[0-9]+)?(-|$)' |
  sort -u
)

printf '%s\n' "${PHP_PACKAGES[@]}"

Simule a atualização antes de aplicá-la. Revise a origem e as mudanças que o APT pretende fazer:

sudo apt-get install --only-upgrade --simulate "${PHP_PACKAGES[@]}"

Se a simulação mostrar os pacotes PHP esperados e uma versão candidata que contém a correção, aplique a atualização:

sudo apt-get install --only-upgrade "${PHP_PACKAGES[@]}"

O APT pode solicitar confirmação. Leia a lista de pacotes antes de responder. Se a simulação não mostrar atualizações, confira novamente apt-cache policy e os avisos do fornecedor. Uma atualização sem erro não comprova, por si só, que todos os runtimes foram corrigidos.

Nas versões mantidas pelo projeto PHP, os primeiros lançamentos corrigidos são 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Pacotes do CloudPanel podem acrescentar identificadores próprios à versão, como +clp-noble. Para PHP 8.1 ou anterior, verifique o changelog e as informações do fornecedor: essas versões já não recebem atualizações do projeto PHP, embora distribuições ou fornecedores possam publicar correções retroportadas.

Reinicie os serviços PHP-FPM usados pelos sites

Depois de atualizar os pacotes, identifique os serviços PHP-FPM instalados:

systemctl list-units --type=service --all 'php*-fpm.service'

Reinicie as versões que atendem sites. Por exemplo, para PHP 8.2 e 8.3:

sudo systemctl restart php8.2-fpm php8.3-fpm
sudo systemctl status php8.2-fpm php8.3-fpm --no-pager

Troque os nomes pelos serviços existentes e usados no seu servidor. Você também pode reiniciar o serviço PHP-FPM pela área administrativa do CloudPanel, em Instance → Services. Depois, teste as páginas, o login, os formulários e os recursos que dependem de extensões específicas.

Confira separadamente o PHP interno do CloudPanel

Descubra qual executável está sendo usado pelo serviço interno:

PID=$(systemctl show -p MainPID --value clp-php-fpm)
printf 'PID principal do clp-php-fpm: %s\n' "$PID"
readlink -f "/proc/$PID/exe"
tr '\0' ' ' < "/proc/$PID/cmdline"
printf '\n'

Se o executável exibido for, por exemplo, /usr/sbin/php-fpm8.1, o painel está usando PHP 8.1, mesmo que todos os sites estejam configurados para PHP 8.2 ou superior. Confira a versão e a origem do pacote:

/usr/sbin/php-fpm8.1 -v
dpkg-query -S /usr/sbin/php-fpm8.1
apt-cache policy php8.1-fpm php8.1-common
zgrep -E 'CVE-2026-(109618|109619)' \
  /usr/share/doc/php8.1-common/changelog.Debian.gz 2>/dev/null

Substitua 8.1 pela versão do executável encontrado. Se não houver atualização candidata nem evidência da correção no pacote, trate o PHP interno como uma pendência separada e consulte o fornecedor do painel. Não altere manualmente o serviço clp-php-fpm para apontar a outra versão PHP sem instrução suportada pelo CloudPanel.

Enquanto aguarda uma correção oficial para o runtime interno, restrinja o acesso administrativo à porta 8443 a IPs confiáveis ou use uma VPN. A documentação do CloudPanel recomenda restringir essa porta no firewall. Essa medida protege o acesso ao painel, mas não corrige o PHP vulnerável nem substitui a atualização.

Se o repositório ainda não oferecer a correção

Não force a instalação de pacotes de outra distribuição ou de outro repositório sem validar compatibilidade. Verifique periodicamente a versão candidata e o changelog do pacote. Se a aplicação não puder ser atualizada imediatamente, siga as medidas temporárias descritas no aviso oficial do PHP e planeje a atualização definitiva.

O PHP esclarece que as mitigações reduzem a exposição a caminhos específicos, mas não tornam a instalação segura. Desativar somente session.upload_progress, por exemplo, não cobre todos os caminhos descritos para essas falhas. Um WAF como o Cloudflare pode acrescentar proteção, mas também não substitui o patch no servidor de origem.

Evite executar scripts copiados de comentários comunitários que alterem todos os arquivos php.ini, adicionem prioridades APT ou troquem o PHP do painel. A issue #823 do CloudPanel contém relatos úteis sobre o incidente, mas é uma discussão comunitária, não um procedimento oficial de atualização.

Como confirmar a atualização

Consulte novamente os pacotes instalados. Exemplo:

dpkg-query -W -f='${binary:Package}\t${Version}\n' \
  php8.2-cli php8.2-fpm php8.2-common \
  php8.3-cli php8.3-fpm php8.3-common 2>/dev/null

Compare as versões com os lançamentos corrigidos ou com os backports documentados pelo fornecedor. Confira também o changelog dos pacotes comuns:

zgrep -E 'CVE-2026-(109618|109619)' \
  /usr/share/doc/php8.2-common/changelog.Debian.gz

Ajuste a versão do exemplo. O nome ou o caminho do changelog pode variar conforme o pacote. Se não houver correspondência, isso não prova automaticamente que o binário esteja vulnerável; confirme a versão instalada, a origem do pacote e o aviso do fornecedor.

Por fim, confirme que os serviços estão ativos e teste cada site na versão PHP configurada no CloudPanel. Verifique o serviço clp-php-fpm à parte, pois ele pode continuar executando um PHP interno antigo mesmo depois da atualização dos sites.

Perguntas frequentes

Atualizar o CloudPanel corrige automaticamente todos os PHP?

Não necessariamente. Atualize os pacotes PHP disponíveis e confira separadamente os runtimes dos sites e o serviço interno clp-php-fpm.

Quais versões PHP corrigem esses CVEs?

Os primeiros lançamentos upstream corrigidos são PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Um fornecedor também pode aplicar um backport com numeração própria.

O PHP 8.1 do painel está corrigido?

Confirme no pacote instalado, no changelog e no aviso atual do CloudPanel. O projeto PHP encerrou o suporte upstream ao PHP 8.1; uma correção depende do fornecedor do pacote ou de um backport.

Posso trocar o repositório do CloudPanel pelo Sury?

Não faça essa troca como procedimento automático. Isso muda a origem e a prioridade dos pacotes. Primeiro valide compatibilidade, dependências, arquitetura e possibilidade de retorno.

Desativar session.upload_progress resolve o problema?

Não por completo. O PHP descreve essa alteração como uma mitigação para caminhos específicos; a atualização para um pacote corrigido continua sendo a solução definitiva.

Conclusão

Em um servidor CloudPanel, atualize os pacotes PHP a partir das fontes configuradas para aquela instalação, reinicie os PHP-FPM usados pelos sites e confirme as versões e os changelogs. Depois faça uma verificação independente do clp-php-fpm. O painel e os sites podem usar versões PHP diferentes, então a checagem precisa cobrir ambos.

Fontes: aviso oficial do PHP; configurações PHP por site no CloudPanel; gerenciamento de serviços no CloudPanel; segurança e firewall do CloudPanel; issue comunitária #823; análise PHP2Shell da Sansec.