Vulnerabilidades do PHP em 24/09/2026

Recursão sem limite na limpeza de XML do SoapServer

A função cleanup_xml_node percorre o documento XML uma vez por nível de aninhamento, sem medir a profundidade. Depois que o libxml2 termina a leitura, esse passo do próprio PHP desce por cada elemento filho. Um envelope SOAP com dezenas de milhares de elementos aninhados esgota a pilha do processo e encerra o worker. A mesma recursão existe no decodificador de valores e na busca de nós do WSDL.

Casos de uso afetados

• Você publica um endpoint SoapServer acessível pela internet. Um cliente HTTP sem autenticação envia um POST com um envelope contendo 50 mil elementos aninhados. O worker que atende a requisição cai e as demais requisições ficam sem atendimento até o processo ser reiniciado.

Versões afetadas e correções

A correção define um limite de profundidade de 2048 níveis e converte a limpeza do XML em percurso iterativo.

Nomes de dispositivo reservados no Windows travam a requisição

No Windows, as APIs de arquivo e de stream do PHP não recusam nomes reservados como CON, PRN, AUX, NUL, COM1 a COM9 e LPT1 a LPT9 quando eles aparecem como um componente do caminho. Um nome definido no upload chega ao CreateFileW e abre um dispositivo em vez do arquivo comum. A leitura ou gravação pode ficar presa e consumir os workers até o processo esgotar.

Casos de uso afetados

• Sua aplicação roda no Windows e monta o caminho de destino do upload com o nome enviado pelo usuário. Um envio com o nome CON ou NUL.txt abre um dispositivo e deixa a requisição pendurada, reduzindo a capacidade de atendimento até o pool esgotar.

Versões afetadas e correções

A correção classifica o caminho antes da chamada ao Windows e recusa componente reservado. Nomes de dispositivo isolados, como NUL, continuam aceitos por compatibilidade.

Bypass do allowed_clients do FastCGI em IPv6

A checagem de acesso do cliente FastCGI compara apenas os primeiros 12 bytes de um endereço IPv6 de 16 bytes. Com isso, listen.allowed_clients vale para todo o prefixo /96 em vez do endereço exato. Um endereço no mesmo /96 de um cliente permitido atravessa a checagem e alcança o endpoint FastCGI.

Casos de uso afetados

• Seu pool do PHP-FPM escuta em um endereço IPv6 e usa listen.allowed_clients como único controle de acesso. Uma requisição a partir de um endereço no mesmo /96 de um cliente permitido alcança o endpoint e executa scripts com o worker.

Versões afetadas e correções

Estouro de inteiro vira estouro de buffer na leitura HTTP do SOAP

O cliente SOAP controla o crescimento do buffer de resposta com uma comparação que depende de estouro de inteiro com sinal. Esse comportamento é indefinido e o compilador pode remover a checagem. Sem ela, um servidor SOAP malicioso faz o cliente alocar um buffer muito menor do que os bytes que serão gravados nele e provoca corrupção no heap.

Casos de uso afetados

• Seu código usa SoapClient para conversar com um servidor fora do seu controle ou por uma conexão sem TLS. O servidor responde com codificação chunked e tamanhos de bloco que ultrapassam o limite do inteiro, disparando a escrita fora do buffer durante a montagem da resposta.

Versões afetadas e correções

O estouro depende do compilador usado no build. A correção troca a soma para size_t e valida cada etapa de crescimento antes de alocar.

Estouro de heap na verificação de nome curinga do certificado

A função que compara nome curinga em certificados TLS calcula o tamanho passado ao memchr com uma subtração que pode voltar ao tamanho máximo de size_t. Um servidor malicioso apresenta um certificado cujo nome literal é maior que o hostname verificado e faz o cliente ler até o limite da memória. O caminho é alcançado por qualquer stream cliente, porque verify_peer_name vem ligado por padrão.

Casos de uso afetados

• Seu código abre uma conexão https com um host externo usando file_get_contents ou outro stream cliente. O servidor apresenta um certificado com nome curinga maior que o hostname solicitado e provoca leitura fora do buffer alocado para o nome do certificado.

Versões afetadas e correções

Leitura fora do buffer nos filtros convert com NUL na quebra de linha

Os filtros convert.base64-encode, convert.quoted-printable-encode e convert.quoted-printable-decode aceitam a opção line-break-chars. O construtor duplica o valor com pestrdup, que para no primeiro byte NUL, mas mantém o tamanho original. Ao inserir a quebra de linha, o filtro copia esse tamanho a partir da alocação menor e coloca bytes vizinhos do heap na saída gerada.

Casos de uso afetados

• Sua aplicação anexa um filtro convert a um stream e monta a opção line-break-chars com valor vindo de configuração ou de entrada. Um valor com NUL no início faz a saída carregar bytes de memória adjacente, que seguem para o arquivo, a resposta HTTP ou o registro de log.

Versões afetadas e correções

Credenciais enviadas para outro host em redirecionamento HTTP

Quando o wrapper http:// segue um redirecionamento, ele reenvia os cabeçalhos Authorization, Cookie e Proxy-Authorization informados no stream, mesmo quando o destino é outro host, outra porta ou uma troca de HTTPS para HTTP. Um servidor que controla o redirecionamento recebe credenciais destinadas à origem original.

Casos de uso afetados

• Seu código usa file_get_contents com opções de stream que enviam Authorization e segue redirecionamentos. A API chamada responde com um Location para outro domínio ou para http:// e o token é entregue a esse destino.

Versões afetadas e correções

A correção compara origem, host e porta efetivos e retira os três cabeçalhos quando o destino muda. A retirada continua valendo nos saltos seguintes.

Leitura fora do buffer com Location vazio no wrapper HTTP

Ao seguir um redirecionamento cujo cabeçalho Location vem vazio, o wrapper lê um byte depois do fim do buffer que guarda o valor. O byte lido decide qual destino será montado, então o servidor que responde escolhe entre a raiz do host e o diretório atual. A falha aparece nas linhas que já receberam a correção do CVE-2025-1861.

Casos de uso afetados

• Seu código abre uma URL http com file_get_contents e segue redirecionamentos. Um servidor malicioso responde com 302 e Location vazio, e o cliente segue para um destino definido por memória fora do buffer.

Versões afetadas e correções

Verificação de nome TLS recorre ao CN depois de SAN divergente

A verificação de par do OpenSSL consulta as entradas subjectAltName e, quando nenhuma corresponde, ainda aceita o Common Name. A RFC 6125 manda ignorar o CN assim que o certificado apresenta alguma identidade de serviço. Um certificado com CN de um nome e SAN de outro passa na verificação para o nome do CN, o que permite usar um certificado confiável para se passar por outro host.

Casos de uso afetados

• Seu cliente abre uma conexão TLS com verificação de nome ligada. Um certificado confiável pela sua cadeia, com CN igual ao host de destino e SAN de outro nome, permite se apresentar como esse host ao cliente.

Versões afetadas e correções

Certificados sem nenhuma identidade de serviço continuam usando o CN, por compatibilidade.

Estouro de inteiro no cabeçalho TAR injeta entradas no Phar

A leitura do campo octal de tamanho no cabeçalho TAR acumula os dígitos em um inteiro de 32 bits sem checar o limite. Um valor acima de 0xFFFFFFFF volta a zero, o parser pula a quantidade errada de blocos e interpreta o conteúdo do arquivo como o próximo cabeçalho. Um arquivo preparado injeta entradas que o PharData lista e extrai como se fossem legítimas.

Casos de uso afetados

• Sua aplicação abre um arquivo tar recebido de terceiros com PharData. O arquivo traz um campo de tamanho que estoura o inteiro e, na listagem seguinte, aparecem entradas que não existiam no arquivo original.

Versões afetadas e correções

Byte 0xFF não é codificado no FILTER_SANITIZE_ENCODED

A tabela que decide quais bytes o FILTER_SANITIZE_ENCODED codifica tem 256 posições, mas a inicialização cobre apenas 255. A posição do byte 0xFF fica com o valor que estava na pilha. Na prática, esse byte pode passar sem codificação enquanto os demais são convertidos, e o resultado muda conforme a execução.

Casos de uso afetados

• Sua aplicação usa FILTER_SANITIZE_ENCODED antes de montar uma URL ou um parâmetro. Um valor com 0xFF chega à saída sem codificação, e a etapa seguinte recebe um conteúdo diferente do esperado.

Versões afetadas e correções

A falha foi corrigida publicamente nas versões 8.4.25 e 8.5.10 e chegou às linhas 8.2 e 8.3 apenas no pacote de segurança de 24/09/2026.

Leituras fora do buffer em pacotes do mysqlnd

O parser do protocolo do mysqlnd lê campos do pacote antes de confirmar que ainda há bytes suficientes. Um servidor MySQL malicioso ou comprometido envia um pacote truncado e faz o cliente ler além do fim do buffer, comportamento indefinido que pode encerrar o processo. Os caminhos atingem a saudação, as respostas de OK, EOF, troca de autenticação e o cabeçalho de resultado.

Casos de uso afetados

• Sua aplicação conecta a um servidor MySQL fora do seu controle ou a uma instância que pode ser comprometida. O servidor responde com um pacote truncado durante a conexão e o processo do PHP que atende a requisição encerra.

Versões afetadas e correções