id: "REQ-290" title: "Mitigação Emergencial PHP2Shell (CVE-2026-109618 / CVE-2026-109619): Atualização do PHP no Lab, Prod, Docker e Restrição no Core" status: "ready-for-intake" date: "2026-10-21" author: "arquiteto" target_repo: "conn2flow" batch: "BATCH-298" topology: "dupla" autonomy: "autonomo_monitorado" origin: "Vulnerabilidades críticas RCE no motor PHP (PHP2Shell, CVSS 9.2). Publicação emergencial de patches em 21/10/2026."

req-290: Mitigação Emergencial PHP2Shell no Core, Servidores e Docker

1. Relato & Contexto da Vulnerabilidade

Em 21 de outubro de 2026, foi divulgada a vulnerabilidade crítica de Execução Remota de Código (RCE) não autenticada no core do PHP, batizada como PHP2Shell, abrangendo:

• CVE-2026-109618: RCE via corrupção de memória durante tratamento de erros de Out-Of-Memory (memory_limit).

• CVE-2026-109619: RCE via estado global residual persistindo após término de requisições com erro fatal em ambientes com processos persistentes (PHP-FPM, Apache mod_php, etc.).

Gravidade: CVSS v4.0 score 9.2 (Crítico). Permite execução arbitrária de código sem necessidade de autenticação.

Versões Corrigidas Lançadas Oficialmente (21/10/2026):

• PHP 8.2: >= 8.2.35

• PHP 8.3: >= 8.3.36

• PHP 8.4: >= 8.4.27

• PHP 8.5: >= 8.5.12

2. Objetivos & Escopo de Implementação

1. Servidores Remotos (SSH):

   • Ambiente de Testes / Lab ([REDACTED] — [REDACTED]):

     • Acessar via SSH, inspecionar versão atual (php -v) e gerenciador de pacotes (apt / ppa:ondrej/php ou similar).

     • Atualizar pacotes do PHP para a respectiva versão corrigida patch.

     • Reiniciar o serviço de runtime (php-fpm e/ou apache2).

     • Validar status ativo e execução sem erros no painel e nos sites de teste.

   • Ambiente de Produção ([REDACTED] — [REDACTED]):

     • Acessar via SSH (root com chave id_ed25519_hostinger_vps).

     • Inspecionar versão ativa do PHP e aplicar atualização de segurança dos pacotes.

     • Reiniciar de forma limpa os daemons do PHP-FPM / webserver.

     • Confirmar que conn2flow.com e demais sites hospedados continuam operando normalmente sem interrupções.

2. Infraestrutura Docker Local (dev-environment/docker):

   • Atualizar Dockerfile e Dockerfile.php85 garantindo que as imagens base apontem para versões seguras ou reconstruir com --no-cache (docker compose build --no-cache) para baixar os patches corrigidos das tags oficiais php:8.3-apache e php:8.5-apache.

   • Validar que o container sobe e executa php -v reportando versão protegida.

3. Core do Sistema (conn2flow/composer.json):

   • Declarar explicitamente a restrição de versão mínima segura no composer.json do core ("require": { "php": ">=8.2.35" } ou versão compatível adotada pela arquitetura), impedindo que o Conn2Flow rode inadvertidamente sob runtimes vulneráveis.

   • Executar os testes automatizados do core (./c2f test:run ou vendor/bin/phpunit) para garantir que nenhuma dependência ou teste seja quebrado.

3. Critérios de Aceite (Definition of Done)

1. Lab Atualizado: [REDACTED] php -v retorna versão >= 8.2.35 / >= 8.3.36 (conforme o branch da distro) e o painel do Lab responde normalmente.

2. Produção Atualizada: [REDACTED] php -v retorna versão corrigida e conn2flow.com responde HTTP 200 sem falhas.

3. Docker Local Atualizado: Containers locais sob dev-environment/docker rodam com PHP seguro.

4. Governança no Composer: composer.json do core reflete o requisito de versão mínima segura e a suíte de testes passa com sucesso.

5. Evidências Registradas: Comandos executados, versões antes/depois e saídas de status documentados no lote BATCH-298.md.