Neste artigo
- Direto ao ponto
- O que acontece no PHP antes de o Mautic responder
- Como o Mautic pode receber acessos fora do painel
- Qual PHP corrigido é compatível com cada Mautic
- A versão do terminal pode ser diferente da usada pelo site
- Desativar o progresso de upload tem alcance limitado
- A manutenção termina com a conferência do Mautic
Você pode ser a única pessoa com acesso ao painel do Mautic e ainda ter o PHP recebendo requisições da internet. Quando você abre o login pelo navegador, o servidor já precisa processar esse acesso para exibir o formulário. A conferência da senha vem depois. Essa ordem importa para as duas falhas de execução remota anunciadas pelo PHP em 21 de outubro de 2026: um dos caminhos demonstrados permite atacar o interpretador enquanto ele prepara a requisição, sem executar o código da aplicação. Comunicado do PHP.
Para avaliar sua instalação do Mautic 4, 5, 6 ou 7, você precisa identificar o PHP que atende ao domínio. A senha administrativa continua cumprindo sua função, mas não corrige o interpretador. Também será necessário conferir qual atualização a sua versão do Mautic aceita, porque trocar a série do PHP pode exigir uma atualização da aplicação e dos plugins utilizados.
Direto ao ponto
As correções estão no PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Para instalações antigas, o PHP disponibilizou correções em código-fonte para as séries 7.4, 8.0 e 8.1, sem retomar seu suporte regular. A orientação é aplicar uma correção compatível com a aplicação e confirmar seu uso pelo serviço web. As medidas temporárias descritas pelo projeto reduzem caminhos específicos de ataque, mas não substituem a atualização. Orientação oficial de atualização.
O que acontece no PHP antes de o Mautic responder
O PHP prepara estruturas internas para processar cada requisição. Na CVE-2026-109618, uma interrupção por falta de memória pode deixar parte dessas estruturas incompleta. Durante o encerramento da requisição, o interpretador pode acessar esse conteúdo como se ele estivesse válido. O aviso confirma que essa sequência pode permitir a execução de código com as permissões da conta que executa o processo web. Descrição da CVE-2026-109618.
No Apache com mod_php, que executa o PHP como módulo do servidor, a exploração foi demonstrada durante o processamento inicial da requisição. O PHP-FPM gerencia processos que recebem as requisições e encerra o processo filho quando a inicialização falha. Esse comportamento evita aquele caminho inicial, mas o aviso descreve outras condições possíveis depois da inicialização normal. Se o seu Mautic utiliza PHP-FPM, você ainda precisa atualizar o interpretador para corrigir essa falha. Diferenças entre os ambientes.
A CVE-2026-109619 envolve informações internas que permanecem acessíveis no processo depois da liberação da memória à qual pertenciam. Uma requisição posterior, atendida pelo mesmo processo, pode tentar utilizá-las. O aviso registra um caminho validado em PHP-FPM que depende de uma ação da aplicação seguida de erro fatal. O acompanhamento de progresso de upload participa da requisição posterior. Essa dependência exige examinar o comportamento da aplicação, além da configuração do servidor. Descrição da CVE-2026-109619.
Para o Mautic, a consequência dessa análise é que você precisa verificar o interpretador mesmo quando o painel exige autenticação. Os avisos citados demonstram falhas no PHP, sem apresentar um teste específico contra as quatro versões do Mautic. A exposição da sua instalação depende do PHP utilizado e das condições aceitas pelo servidor. Ao escolher a atualização, você precisa cruzar a versão corrigida do PHP com a compatibilidade declarada para a sua versão do Mautic.
Como o Mautic pode receber acessos fora do painel
Um formulário incorporado no site da sua empresa pode enviar contatos ao Mautic sem exigir uma conta administrativa. A documentação descreve esse uso com visitantes anônimos. Assim, mesmo que você restrinja o painel, precisa conferir quais endereços continuam recebendo requisições públicas para atender às campanhas. Formulários do Mautic.
A existência de um formulário público não comprova que aquele endereço permita explorar as duas falhas. Ela mostra uma comunicação que precisa entrar na avaliação do servidor. Uma restrição de acesso aplicada a todo o domínio também pode impedir envios legítimos de formulários. Teste o formulário no site que o utiliza e confira o registro do contato após qualquer mudança desse tipo.
Uma exploração bem-sucedida pode executar código com as permissões do processo web. Aplicada ao Mautic, essa capacidade poderia permitir o acesso a arquivos de configuração e credenciais legíveis pelo processo. O alcance sobre contatos e campanhas dependeria das permissões disponíveis. Essa é uma consequência possível da execução de código, não um relato de invasão de uma instalação do Mautic.
Qual PHP corrigido é compatível com cada Mautic
A tabela cruza a matriz de compatibilidade do Mautic com as revisões corrigidas anunciadas pelo PHP. As linhas reproduzem as versões explicitamente listadas pelo projeto. Para outras revisões da aplicação, confira seus requisitos e os plugins instalados.
| Versão do Mautic na matriz | Séries de PHP compatíveis | Caminho para as correções |
|---|---|---|
| 4.0 | 7.4 | Pacote com correções retroativas ou migração da aplicação. |
| 4.4 | 7.4 e 8.0 | Pacote com correções retroativas ou migração da aplicação. |
| 5.0 | 8.0 e 8.1 | Pacote com correções retroativas ou atualização do Mautic. |
| 5.1 | 8.0, 8.1 e 8.2 | PHP 8.2.35 na série 8.2. Nas anteriores, conferir correções retroativas. |
| 5.2 | 8.1, 8.2 e 8.3 | PHP 8.2.35 ou 8.3.36. Para 8.1, conferir correções retroativas. |
| 6.0 | 8.1, 8.2 e 8.3 | PHP 8.2.35 ou 8.3.36. Para 8.1, conferir correções retroativas. |
| 7.0 | 8.2, 8.3, 8.4 e 8.5 | PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. |
Considere um Mautic 5.2 executado com PHP 8.3. A revisão 8.3.36 corrige as falhas dentro dessa série, sem exigir a troca para PHP 8.4 ou 8.5. Você ainda precisa testar as dependências e confirmar o pacote instalado, mas pode organizar a manutenção em torno de uma atualização do interpretador compatível com a aplicação.
No Mautic 4, a tarefa exige outro cuidado: a disponibilidade de uma correção em código-fonte não significa que a imagem Docker ou o pacote da hospedagem já a contenha. Solicite ao fornecedor a identificação do pacote e a confirmação das duas CVEs corrigidas. Se essa atualização não estiver disponível, será necessário avaliar uma migração compatível e restringir o acesso enquanto a correção é preparada.
O suporte do Mautic também tem limites próprios. O projeto informa suporte estendido pago para a série 4.4 até 31 de dezembro de 2026, mas exclui dependências sem manutenção do escopo de segurança. Portanto, um contrato de suporte do Mautic não comprova que o PHP recebeu as correções. Calendário e escopo de suporte.
A versão do terminal pode ser diferente da usada pelo site
O PHP permite configurações diferentes conforme a interface de execução. Por isso, conferir o executável chamado no terminal não identifica automaticamente o processo que atende ao domínio do Mautic. Você precisa relacionar o domínio ao serviço web e conferir a versão e o arquivo de configuração carregados por esse serviço. Carregamento da configuração do PHP.
Em uma instalação com Docker, o PHP utilizado pelo Mautic pode estar dentro da imagem. Atualizar o pacote do sistema hospedeiro não substitui esse interpretador. Confira a imagem efetivamente utilizada pelo serviço e a revisão instalada dentro dela, incluindo todas as réplicas que recebem requisições. O nome de uma tag, isoladamente, não confirma o conteúdo dos containers que já estão em execução.
Se o provedor administra o servidor, solicite a revisão do PHP usada pelo seu domínio e o registro da atualização aplicada. Também confirme quais tarefas de manutenção fazem parte do serviço contratado. A diferença entre administrar uma máquina e contratar esse acompanhamento aparece na explicação sobre escolha de hospedagem e manutenção.
Desativar o progresso de upload tem alcance limitado
O acompanhamento de uploads pelo PHP pode gravar informações de progresso na sessão durante o processamento inicial da requisição. A aplicação não precisa oferecer uma barra de progresso para que o recurso esteja habilitado no interpretador. Esse momento de execução explica por que uma alteração feita pelo próprio código da aplicação pode chegar tarde. Funcionamento do progresso de upload.
Para reduzir os caminhos conhecidos associados a sessões, o PHP orienta definir session.upload_progress.enabled=0 na configuração aplicada durante a inicialização e reiniciar todos os processos que atendem requisições. O comunicado rejeita ini_set() e o uso de .user.ini no PHP-FPM para essa medida, pois essas alterações não entram no momento necessário. Outros caminhos de exploração permanecem possíveis mesmo com o progresso de upload desativado. Medidas temporárias do PHP.
Você precisa conferir o valor efetivo no serviço que executa o Mautic. A configuração gravada no disco pode ser diferente daquela carregada pelos processos ativos. Depois da mudança, teste um envio legítimo e observe se algum recurso da interface dependia do acompanhamento de upload. A atualização do interpretador continua necessária mesmo quando esse teste funciona.
A manutenção termina com a conferência do Mautic
Eu recomendo ensaiar mudanças de infraestrutura em um ambiente de teste e compreender a recuperação antes de repeti-las no servidor do cliente. Para essa atualização, você pode usar uma cópia isolada da instalação, com envios de email desativados, e verificar se os plugins funcionam com o pacote corrigido. A preparação deve permitir identificar uma incompatibilidade sem enviar campanhas duplicadas aos contatos.
Após substituir o PHP, reinicie os processos correspondentes e confirme a revisão carregada pelo serviço web. A distinção entre instalar um pacote e reiniciar o serviço também aparece na manutenção do OpenSSH no Debian. Os procedimentos de cada serviço são diferentes, por isso o comando usado no SSH não deve ser transferido para o PHP.
No Mautic, confira um envio de formulário e o contato registrado. Depois acompanhe uma campanha de teste e a execução das tarefas agendadas, principalmente se o servidor usa serviços separados para o site e para o processamento em segundo plano. Essas verificações confirmam o funcionamento da aplicação após a manutenção, mas não substituem a comprovação de que o PHP contém as correções.
O ensaio e a conferência fazem parte do trabalho técnico que eu considero necessário ao alterar a infraestrutura. Você pode estudar a manutenção da stack de automação no Plano Martech, que reúne Mautic e fundamentos de infraestrutura. Para compreender a relação entre processos, containers e serviços publicados, a Formação DevOps aprofunda essa parte da administração.
Se a dificuldade estiver na execução da manutenção do seu servidor, o Desenvolvimento Colaborativo da Dev Side Studio oferece orientação técnica ao vivo. Ao concluir a atualização, mantenha registrados o pacote corrigido, o serviço reiniciado e o resultado dos testes do Mautic.
