Como atualizar o PHP do cPanel contra os CVE-2026-109618 e CVE-2026-109619

Resumo: Em servidores cPanel & WHM, atualize os pacotes PHP do EasyApache 4 pelos canais oficiais do cPanel, reinicie Apache e PHP-FPM e confirme a correção nos pacotes instalados. Verifique cada versão PHP em uso: o servidor pode manter várias versões, e cada domínio pode estar associado a uma delas.

Os CVE-2026-109618 e CVE-2026-109619 são falhas críticas no runtime PHP. Atualizar o WordPress, um plugin ou outro aplicativo não corrige o PHP instalado no servidor. Para os pacotes EasyApache 4 distribuídos pelo cPanel, o aviso de segurança lista versões corrigidas por ramo. O procedimento abaixo é voltado a servidores que usam os pacotes ea-php do cPanel.

O PHP publicou atualizações de segurança para as versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12. O cPanel também informa builds próprios corrigidos, como ea-php82 8.2.35 e ea-php81 8.1.34-5. A versão do pacote pode incluir números adicionais da distribuição. Consulte a tabela atual do [aviso oficial do cPanel](https://support.cpanel.net/hc/en-us/articles/44397389677335-Critical-PHP-Security-Release-CVE-2026-109618-and-CVE-2026-109619) antes de validar.

Antes de atualizar o PHP

Faça um backup recente e escolha uma janela adequada para a atualização. O procedimento pode atualizar outros pacotes gerenciados pelo cPanel, além do PHP, e reiniciar Apache e PHP-FPM pode interromper brevemente os sites.

Confira a versão do cPanel e as versões PHP instaladas:

/usr/local/cpanel/cpanel -V
rpm -qa 'ea-php*-php-cli' | sort

Em servidores Ubuntu gerenciados pelo cPanel, use a consulta do sistema de pacotes:

dpkg-query -W -f='${binary:Package}\t${Version}\n' 'ea-php*' 2>/dev/null | sort

Consulte também WHM → Software → MultiPHP Manager. Verifique a versão atribuída a cada domínio. Um servidor pode ter várias versões EA-PHP instaladas ao mesmo tempo; atualizar somente a versão padrão não garante que todos os domínios estejam usando uma versão corrigida.

Atualize cPanel & WHM e os pacotes EasyApache 4

Primeiro, atualize o cPanel & WHM para um release que contenha as correções listadas pelo cPanel. No WHM, abra Home → cPanel → Upgrade to Latest Version. O cPanel lista releases corrigidos, incluindo 11.110.0.153, 11.134.0.66, 11.136.0.50 e 11.138.0.18. Confirme qual release corresponde ao seu canal e à sua versão instalada.

Depois, atualize os pacotes PHP do EasyApache 4. Você pode fazer isso pelo terminal como root ou pela interface do WHM.

AlmaLinux, Rocky Linux, CentOS ou RHEL:

yum clean all
yum makecache
/scripts/update-packages

Ubuntu:

apt clean
apt update
/scripts/update-packages

Leia a saída e confira os pacotes que serão atualizados antes de confirmar qualquer transação. O cPanel recomenda usar o fluxo de atualização do próprio produto para manter os componentes do servidor alinhados com os repositórios configurados.

Na interface, você também pode abrir WHM → Software → EasyApache 4 e selecionar Run System Update. Use a opção de atualização de pacotes instalados; não aplique um perfil personalizado sem revisar quais componentes serão instalados ou removidos.

Reinicie Apache e PHP-FPM

Após a atualização, reinicie os serviços para que os processos carreguem os binários PHP atualizados:

/scripts/restartsrv_httpd
/scripts/restartsrv_apache_php_fpm

Confira se os serviços estão ativos:

/scripts/restartsrv_httpd --status
/scripts/restartsrv_apache_php_fpm --status

Se algum serviço não iniciar, examine a mensagem de erro e os logs antes de repetir a reinicialização. Não reconstrua as configurações PHP-FPM sem uma evidência de que elas estão inválidas.

Confirme a correção em cada versão PHP instalada

Confira as versões dos pacotes principais. Exemplo para PHP 8.2:

rpm -q ea-php82-php-cli ea-php82-php-fpm ea-php82-php-common

Repita a consulta para cada ramo usado no servidor, como ea-php81, ea-php83 ou ea-php84. No Ubuntu, use:

dpkg-query -W -f='${binary:Package}\t${Version}\n' \
  ea-php82-php-cli ea-php82-php-fpm ea-php82-php-common 2>/dev/null

O cPanel recomenda procurar os CVEs no changelog dos pacotes. Em distribuições RPM:

rpm -q --changelog ea-php82-php-cli |
  grep -m1 -E 'CVE-2026-(109618|109619)'

Em Ubuntu:

zgrep -E 'CVE-2026-(109618|109619)' \
  /usr/share/doc/ea-php82-php-cli/changelog.Debian.gz

Troque 82 pelo ramo que está verificando. Compare a versão e o changelog com a tabela do cPanel. Se o changelog não mostrar os CVEs, confirme a versão e a origem do pacote com o repositório. A ausência de uma linha, isoladamente, não confirma se o binário está vulnerável ou corrigido.

Depois, volte ao MultiPHP Manager e teste cada domínio na versão atribuída. O comando php -v no SSH mostra o PHP CLI padrão; ele não confirma automaticamente a versão usada por todos os sites.

Importante para servidores com CloudLinux

O cPanel publica uma tabela separada para EasyApache 4 em servidores CloudLinux. Os números de versão corrigidos podem ser diferentes dos pacotes EA-PHP distribuídos pelo cPanel em outros sistemas. Se o servidor usa CloudLinux OS, compare os pacotes com a tabela específica para CloudLinux e com o status do fornecedor. O artigo de atualização de CloudLinux será tratado separadamente nesta série.

Este guia também não atualiza o alt-php do CloudLinux. EasyApache 4 e alt-PHP são conjuntos de pacotes distintos. Confira o runtime realmente usado por cada domínio e siga o procedimento correspondente ao fornecedor.

Erros comuns durante a atualização

• Atualizar apenas o painel: a versão do cPanel & WHM e os pacotes PHP EA4 são componentes relacionados, mas precisam ser verificados separadamente.
• Conferir somente o PHP padrão: domínios diferentes podem usar versões distintas no MultiPHP Manager.
• Reiniciar apenas Apache: se PHP-FPM estiver ativo, reinicie também o serviço apache_php_fpm.
• Usar a versão upstream sem conferir o pacote: o cPanel pode numerar seus builds de maneira própria. Valide a versão e o changelog do pacote EA4 instalado.
• Confundir EA-PHP com alt-PHP: são pacotes diferentes e podem ter cronogramas e versões de correção diferentes.
• Usar um repositório de terceiros sem validar compatibilidade: o cPanel alerta que repositórios de terceiros podem interferir nas atualizações do sistema e do próprio cPanel.

Perguntas frequentes

Qual comando atualiza os pacotes PHP do cPanel?

O aviso do cPanel orienta atualizar os metadados do repositório e executar /scripts/update-packages como root. Depois, confira os pacotes EA-PHP instalados.

Quais versões do EA-PHP estão corrigidas?

O aviso do cPanel lista versões corrigidas por ramo, incluindo EA-PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12, além de builds corrigidos de versões anteriores.

Preciso reiniciar PHP-FPM depois da atualização?

Sim. Reinicie Apache e PHP-FPM para que os processos carreguem os arquivos atualizados. O cPanel fornece os scripts /scripts/restartsrv_httpd e /scripts/restartsrv_apache_php_fpm.

O comando php -v confirma todos os domínios?

Não. Ele mostra o PHP CLI padrão. Verifique a versão de cada domínio no MultiPHP Manager e consulte os pacotes EA-PHP correspondentes.

Esse procedimento também atualiza o alt-PHP do CloudLinux?

Não. alt-PHP e EasyApache 4 são pacotes diferentes. Em CloudLinux, confirme qual runtime cada domínio usa e siga o procedimento do fornecedor desse pacote.

Conclusão

Para corrigir os CVE-2026-109618 e CVE-2026-109619 em um servidor cPanel, atualize cPanel & WHM e os pacotes EasyApache 4 pelo fluxo do cPanel, reinicie Apache e PHP-FPM e valide cada versão PHP instalada. Confira também as versões atribuídas aos domínios no MultiPHP Manager. Em servidores com CloudLinux, consulte a tabela específica do CloudLinux antes de declarar o EA-PHP ou o alt-PHP corrigido.

Fontes: aviso de segurança do cPanel; como atualizar o sistema cPanel; documentação EasyApache 4; MultiPHP Manager; reinicialização e configuração de PHP-FPM; status do CloudLinux.