id: "REQ-291" title: "Hardening de Infraestrutura Pós-PHP2Shell: Persistência de Firewall IPv6, Remoção de PHP 8.1 EOL, Diagnóstico no Painel e Proxy do Webmail" status: "ready-for-intake" date: "2026-10-21" author: "arquiteto" target_repo: "conn2flow" batch: "BATCH-299" topology: "dupla" autonomy: "autonomo_monitorado" origin: "Pendências identificadas no BATCH-298 durante a mitigação emergencial da vulnerabilidade PHP2Shell (REQ-290)."

req-291: Hardening de Infraestrutura Pós-PHP2Shell

1. Contexto e Motivação

Durante a aplicação emergencial da REQ-290 (mitigação da vulnerabilidade PHP2Shell nos servidores Lab e Produção), os runtimes principais do PHP (8.2 a 8.5) foram elevados com sucesso para as versões protegidas (8.2.35, 8.3.36, 8.4.27 e 8.5.12) e os acessos de origem foram blindados por WAF e regras de firewall temporárias.

Para consolidar essa frente de segurança de forma permanente e sem débitos técnicos, esta requisição abrange as pendências residuais de infraestrutura e governança do Core.

2. Escopo de Trabalho

A. Infraestrutura e Servidores (Lab & Prod via SSH)

1. Persistência de Regras de Firewall (IPv6):

   • Na produção (prod), a regra de bloqueio da porta do HestiaCP (8083) em IPv6 foi aplicada em runtime via ip6tables e não resiste a reboot.

   • Tornar a regra persistente (via /etc/iptables/rules.v6, serviço netfilter-persistent ou script de subida de interface).

2. Atualização do hestia-php (Painel Administrativo):

   • Assim que o HestiaCP publicar os pacotes atualizados corrigindo o PHP2Shell no runtime interno do painel (atualmente em hestia-php 8.5.9), aplicar o upgrade e validar o acesso.

3. Remoção de Versões EOL sem Patch (PHP 8.1):

   • Desinstalar os pacotes residuais do PHP 8.1 (php8.1*) nos servidores Lab e Prod, confirmando previamente que nenhum site ou pool ativo depende dele.

4. Higiene do Webmail sob Cloudflare:

   • Ajustar a configuração de certificados/SSL nas zonas da Cloudflare (Full ou Full Strict) e no Nginx para os subdomínios webmail.*, permitindo que o tráfego do Roundcube passe com segurança pelo proxy da Cloudflare (eliminando loops de redirecionamento 301).

B. Core e Governança da Aplicação (conn2flow)

1. Diagnóstico e Alerta de Segurança no Painel (admin-environment):

   • Em vez de uma trava fatal rígida no composer.json (que quebra deploys em ambientes que ainda não rodaram apt upgrade), implementar uma verificação inteligente de segurança no módulo de ambiente (admin-environment).

   • Emitir aviso visual em destaque caso o PHP do servidor seja identificado em faixas vulneráveis conhecidas (ex: < 8.2.35, 8.3.0 - 8.3.35, 8.4.0 - 8.4.26, 8.5.0 - 8.5.11), instruindo o administrador a atualizar os pacotes.

3. Critérios de Aceite

1. Firewall IPv6 Persistente: A regra de bloqueio da porta 8083 para IPv6 em Prod permanece ativa após reinicialização do serviço de rede/firewall.

2. Higiene de Runtimes: PHP 8.1 totalmente expurgado de Lab e Prod sem impacto aos sites ativos.

3. Webmail Protegido: webmail.conn2flow.com (e irmãos) funcionando sob proxy Cloudflare com HTTPS válido e sem loops 301.

4. Painel com Auditoria Ativa: Módulo admin-environment identifica a versão do PHP e sinaliza conformidade ou vulnerabilidade de forma amigável e segura.