Já estão disponíveis patches para o php2shell para as versões do PHP 5.2 a 8.5

O ELS para PHP faz parte do ELS para Runtimes, que abrange o PHP e todos os outros ambientes de execução. Preços:

• Até 10 licenças: US$ 5.000 por ano.
• De 11 a 100 licenças: US$ 9.750 por ano.

Contrato anual, pago antecipadamente, sem taxa de instalação.

Compre online: https://tuxcare.com/buy/els/?family=rt

Não. A TuxCare não oferece licenças individuais nem planos mensais. O plano mais básico inclui até 10 licenças por US$ 5.000 por ano.

Compre online: https://tuxcare.com/buy/els/?family=rt

Sim. A licença é por servidor. Ela abrange todas as versões do PHP compatíveis nesse servidor (por exemplo, 7.0, 7.1, 7.2 e 7.3 juntas) e todos os domínios hospedados nele.

Sim, para versões do PHP que não sejam as do sistema. O ELS para CentOS 6 ou 7 não oferece acesso ao repositório alt-php. As compilações do alt-php exigem uma licença do ELS for Runtimes que ofereça suporte a todas as diferentes versões do PHP, como o PHP 7.

Os pacotes nativos do PHP do sistema operacional (por exemplo, CentOS 7 php-5.4.16) recebem correções por meio do ELS para o sistema operacional.

Compre: https://tuxcare.com/buy/els/?family=rt (escolha ELS para Runtimes; o PHP está incluído). Um e-mail de boas-vindas enviará a chave de licença e as instruções de instalação.

Instalação: siga as instruções em https://docs.tuxcare.com/els-for-runtimes/php/ (abre em uma nova aba)

Erros de instalação (por exemplo, “Nenhum token foi retornado pelo CLN”): abra um ticket de suporte em https://support.tuxcare.com/hc/en-us/requests/new (abre em uma nova aba). Informe o sistema operacional, a versão do PHP, o texto exato do erro e o ID da sua chave de licença.

Compra online: o e-mail de boas-vindas envia a chave de licença logo após a compra.

Ordem de compra: o pagamento é antecipado. A chave de licença é enviada após a confirmação do pagamento.

A instalação utiliza o gerenciador de pacotes e não requer tempo de inatividade.

No momento, não oferecemos licenças de avaliação.

Japão: A Cybertrust (https://www.cybertrust.co.jp/ (abre em uma nova aba)) oferece compra local, preços locais e suporte em japonês.

Coreia do Sul: CUDO Communication (https://www.cudo.co.kr/ (abre em uma nova aba))

Sim. A equipe de engenharia aplicou retroativamente as correções em todos os ramos “alt-php”: 5.2–5.6, 7.0–7.4 e 8.0–8.5.

O PHP original corrigiu apenas as versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Para ramificações mais antigas, a correção é fornecida pela TuxCare.

O PHP 8.1 e versões anteriores não receberam nenhum lançamento oficial do projeto PHP. A equipe de segurança do PHP publicou backports mínimos do código-fonte para as versões 7.4, 8.0 e 8.1. O PHP 8.2 chega ao fim de vida útil em 31 de dezembro de 2026.

Uma compilação fixa mantém a versão antiga do PHP e recebe um novo número de versão. Exemplo: alt-php74 permanece na versão 7.4.33 e muda da versão -79 para -81 no EL7.

Para verificar um branch e um sistema operacional, use o rastreador CVE: CVE-2026-109618 e CVE-2026-109619

No ELS para plataformas de sistema operacional, os pacotes nativos de PHP do sistema operacional também receberam a correção. Exemplos: Ubuntu 16.04/18.04/20.04, Debian 10/11, CentOS 6/7/8, RHEL 7, Amazon Linux 2.

O comunicado do PHP cita o PHP-FPM, o mod_php do Apache, o php-cgi, o FrankenPHP e o LiteSpeed. O mod_php do Apache apresenta o maior risco. O PHP-FPM, o LiteSpeed e o FrankenPHP são afetados em algumas configurações. O PHP afirma que a atualização é a única solução completa.

Oferecemos suporte ao PHP das versões 5.2 a 8.5. As versões do PHP disponíveis dependem do sistema operacional:

Linux

• EL6 (CentOS 6, Oracle Linux 6, CloudLinux 6): PHP 5.2–5.6, 7.0–7.4, 8.0–8.3
• EL7 (CentOS 7, RHEL 7, Oracle Linux 7, Amazon Linux 2, CloudLinux 7): PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• EL8 (AlmaLinux, Rocky Linux, RHEL, Oracle Linux, CentOS 8, CentOS Stream 8, CloudLinux): PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• EL9 (AlmaLinux, Rocky Linux, RHEL, Oracle Linux, CentOS Stream 9, CloudLinux): PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• EL10 (AlmaLinux, Rocky Linux, RHEL, Oracle Linux, CloudLinux): PHP 5.3–5.6, 7.0–7.4, 8.0–8.5
• Ubuntu 16.04: PHP 5.5, 5.6, 7.0–7.4, 8.0–8.3
• Ubuntu 18.04, 20.04, 22.04, 24.04: PHP 5.2, 5.6, 7.0–7.4, 8.0–8.5
• Ubuntu 26.04: PHP 5.6, 7.0–7.4, 8.0–8.5
• Debian 10, 11, 12: PHP 5.6, 7.0–7.4, 8.0–8.5
• Debian 13: PHP 5.2–5.6, 7.0–7.4, 8.0–8.5
• Alpine Linux 3.23, 3.24: PHP 7.3, 7.4, 8.0, 8.1

Windows

• Windows Server 2019, 2022, 2025 (x64 e x86): PHP 5.2, 5.4, 5.6, 7.2, 7.3, 7.4, 8.0, 8.1, 8.2

O Windows Server 2016 e versões anteriores não constam nesta lista, assim como o PHP 5.3, 5.5, 7.0 e 7.1 para Windows.

Tabela completa: https://docs.tuxcare.com/els-for-runtimes/php/#about-alt-php (abre em uma nova aba)

Arquitetura: x86_64 em todos os sistemas Linux. arm64 no Debian 12 e 13 e no Alpine Linux. Outras versões e arquiteturas estão disponíveis mediante solicitação.

Sistemas operacionais em fim de vida útil: CentOS 6, 7 e 8, CentOS Stream 8, RHEL 7, Oracle Linux 6 e 7, Amazon Linux 2, Ubuntu 16.04, 18.04 e 20.04, e Debian 10 e 11 estão em fim de vida útil. O ELS para PHP corrige apenas o PHP. Para correções de segurança no próprio sistema operacional, adquira também o ELS para o sistema operacional: https://tuxcare.com/buy/els/ (lista de sistemas operacionais: https://docs.tuxcare.com/els-for-os/ (abre em uma nova aba)). Um único pedido pode incluir ambos os produtos.

Não compatíveis: Amazon Linux 1, CentOS 5, Debian 9, SUSE e CentOS 6 de 32 bits.

O Amazon Linux 2023 não consta da lista de sistemas operacionais compatíveis com o ELS para PHP. Atualmente, ele não está incluído no roteiro do ELS, e a TuxCare planeja adicioná-lo ao roteiro caso haja demanda suficiente. O suporte ao Amazon Linux 2023 chega ao fim em junho de 2029.

O ELS for Runtimes é compatível com as versões do PHP de 5.2 a 8.5 e inclui suporte técnico 24 horas por dia, 7 dias por semana. O suporte é ilimitado. Não temos planos de descontinuar nenhuma das versões do PHP nos próximos anos.

A TuxCare envida esforços comercialmente razoáveis para fornecer correções dentro desses prazos, contados a partir da data em que uma vulnerabilidade é divulgada publicamente:

• Risco crítico e alto (CVSS 7.0 e superior): no prazo de 14 dias
• Risco médio (CVSS 4,0 a 6,9): no prazo de 60 dias
• Baixo risco (CVSS de 0,1 a 3,9): no prazo de 90 dias

Lançamos correções para essas duas vulnerabilidades críticas (CVEs) no mesmo dia. Termos completos: https://docs.tuxcare.com/els-for-runtimes/ (abre em uma nova aba)

Ele é instalado ao lado do seu PHP atual. O ELS para PHP instala suas próprias compilações (alt-php) do repositório da TuxCare em /opt/alt/phpXY. Essas compilações são executadas separadamente do PHP do sistema, do Remi, do Sury, do Webtatic, do IUS, do ea-php, do Plesk PHP ou de uma compilação personalizada.

Você migra os sites para o alt-php, um por vez. Para reverter a mudança, volte a configurar o site para a versão antiga do PHP.

A instalação utiliza o gerenciador de pacotes e não requer tempo de inatividade.

O TuxCare não aplica patches nas compilações da Amazon nem no PHP compilado pelo próprio usuário. Você deve migrar o site para a compilação “alt-php” do mesmo ramo.

No cPanel, a alteração de ea-php73 para alt-php73 trata-se de uma seleção da versão do PHP por conta. Teste primeiro em uma conta ou em uma cópia de teste.

Sim, funciona com o cPanel, com o Plesk e mesmo sem painel de controle.

Sem painel / outros painéis: uma configuração padrão do Apache é suficiente. Não é necessário nenhum painel de controle. Não podemos fornecer detalhes sobre cada painel de controle nem sobre versões mais antigas dos painéis de controle.

cPanel: O ELS para PHP funciona no CentOS 7 com o cPanel/WHM 110. Instale os pacotes e, em seguida, mude os sites para a versão alt-php do mesmo ramo. A assinatura do TuxCare ELS para PHP, disponível na Loja do cPanel, oferece as mesmas correções.

Plesk: o alt-php aparece no Plesk como um manipulador PHP adicional, ao lado das versões PHP do Plesk. Você altera apenas os sites que selecionar. A extensão TuxCare PHP para o Plesk requer o Plesk 18.0.72 ou posterior.

As extensões mais comuns estão incluídas. O alt-php fornece as extensões como pacotes separados. Lista de extensões compatíveis: https://docs.tuxcare.com/els-for-runtimes/php/#supported-os-and-php-versions (abre em uma nova aba)

Para alt-php73 No cPanel, estão disponíveis o ionCube, o OPcache, o memcached, o GD, o intl e os drivers do MySQL.

Para uma pilha incomum, envie-nos a saída do comando php -v e php -m e uma lista dos seus módulos PECL ou ionCube. Nossos engenheiros verificarão o que está disponível.

Algumas extensões PECL são fornecidas como pacotes alt-php, tais como alt-phpXY-pecl-msgpack e alt-phpXY-pecl-igbinary. Você também pode instalar extensões com o pecl. O Documentação do ELS para PHP (abre em uma nova aba) mostrar como criar uma extensão para o alt-php usando o phpize e o alt-phpXY-devel pacote, usando o SaxonC como exemplo.

As compilações padrão do alt-php não são compiladas com segurança de threads. O alt-php72 no EL7 também possui um pacote com segurança de threads, alt-php72-zts, que oferece um zts-php binário. Versões compatíveis com threads de outras versões são produzidas mediante solicitação. Cada uma delas é uma compilação separada do PHP e de suas extensões PECL, com cerca de 75 pacotes por versão do PHP; portanto, entre em contato com o departamento de vendas para obter um orçamento.

Atualize os pacotes alt-php usando a ferramenta de atualização padrão do seu sistema (yum, dnf ou apt). A versão atualizada é instalada em /opt/alt/phpXY. Você pode verificar qual versão corrige os problemas do seu branch do PHP e do seu sistema operacional no Rastreador de CVEs do TuxCare.

Atualmente, o TuxCare não aplica patches nos pacotes do Remi. O alt-php é instalado junto com o PHP do Remi, na pasta /opt/alt/phpXY, e você transfere os sites para ele, um por um. Por exemplo, o alt-php74 pode ser instalado no Rocky Linux 9.

Os pacotes arm64 estão disponíveis para o Debian 12 e 13 e para o Alpine Linux 3.23 e versões posteriores. O script de instalação do Debian, install-els-alt-php-deb-repo.sh, configura o repositório nos contêineres do Debian 12 e 13 nas arquiteturas amd64 e arm64. Execute-o com o bash, pois a execução com o sh gera erros. O licenciamento para contêineres é tratado separadamente; portanto, entre em contato com o departamento de vendas.

Sim, se o departamento de vendas aprovar. O departamento de vendas pode adicionar seus endereços IP à lista de endereços permitidos do rsync. Os repositórios da TuxCare sempre utilizam autenticação baseada em token ou em IP.

A TuxCare disponibiliza pacotes-fonte para o ELS para PHP: pacotes src.rpm para o Enterprise Linux e arquivos tar de código-fonte para o Debian e o Ubuntu. Eles são fornecidos aos clientes mediante solicitação.

Essas compilações corrigem as vulnerabilidades CVE-2026-109618 e CVE-2026-109619:

• PHP 5.2.17: tuxcare.els9
• PHP 5.4.45: tuxcare.els8
• PHP 5.6.40: tuxcare.els12
• PHP 7.2.34: tuxcare.els9
• PHP 7.3.33: tuxcare.els11
• PHP 7.4.33: tuxcare.els13
• PHP 8.0.30: tuxcare.els8
• PHP 8.1.33: tuxcare.els6
• PHP 8.2.29: tuxcare.els4

Qualquer versão com esse número de els ou superior já contém a correção. Todas as versões estão em windows.tuxcare.com/php/<version>/.

• PHP 5.2 e 5.4: somente x86, VC9
• PHP 5.6: x86 e x64, VC11
• PHP 7.2, 7.3 e 7.4: x86 e x64, VC15
• PHP 8.0, 8.1 e 8.2: x86 e x64, vs16

Cada versão está disponível nas versões thread-safe (TS) e não thread-safe (NTS). O PHP 5.2 só pode ser compilado na arquitetura x86; portanto, não há uma versão x64 disponível.

Você precisa de acesso de administrador e, além disso, de uma chave de licença da TuxCare ou do token de autenticação que você já possui. Você pode instalar usando o Instalador da TuxCare (recomendado), o tuxcare-installer.ps1 Script do PowerShell ou download manual. O instalador instala uma versão do PHP a cada execução.

Se o PHP já estiver instalado, você pode escolher “Substituir”, que remove as instalações anteriores, ou “Paralelamente”, que as mantém. O instalador cria o arquivo php.ini a partir do php.ini-production, adiciona a pasta PHP ao caminho do sistema e remove outras pastas do PHP do caminho.

Algumas extensões são marcadas como “somente TS” ou “somente NTS” e funcionam apenas com a versão correspondente. Para o IIS, a documentação remete à documentação oficial do PHP. Se o instalador exibir “(Não autenticado)”, sua licença ou token não inclui o PHP. O instalador move as pastas desinstaladas do PHP para %APPDATA%\TuxCareInstaller\Backups, para que você possa restaurar uma versão que tenha removido por engano.

Sim. Baixar tuxcare-installer.ps1 do site windows.tuxcare.com, usando o link na Documentação do ELS para PHP (abre em uma nova aba), e execute-o em um prompt com privilégios elevados. Para automação, use -ExecutionPolicy Bypass; caso contrário, o script assinado exibirá uma solicitação única do editor sob RemoteSigned. Um único comando registra o servidor, salva o token e instala o PHP:

powershell.exe -NoProfile -ExecutionPolicy Bypass -File tuxcare-installer.ps1 -LicenseKey <license key> -Product php -Install "<archive name>" -InstallFolder D:\PHP -Modules curl,mbstring,openssl -NoPath

• Escolha o arquivo pelo nome do arquivo, exatamente como -List -Product php imprime-o. São permitidos caracteres curinga, mas o padrão deve corresponder exatamente a um arquivo, pois cada correspondência é instalada uma após a outra.
• No nome do arquivo, “nts” significa “não seguro para threads” (as compilações seguras para threads não contêm a parte “nts”), “x64” ou “x86” é a arquitetura e “vs16”, “vc15” ou “VC11” é o compilador.
• O PHP é extraído para a pasta de instalação, em uma subpasta com o nome do arquivo compactado. A pasta de instalação padrão é C:\Arquivos de Programas. Se essa subpasta já existir, a instalação falhará com o código de saída 5.
• Sem -NoPath, a nova pasta é adicionada ao Path do computador e todas as outras entradas do Path que contenham “php” são removidas. Com -NoPath, o caminho não é alterado durante a instalação ou a desinstalação.
• -Modules lista as extensões a serem ativadas no arquivo php.ini gerado. Todas as demais permanecem listadas, mas desativadas. Se você deixar -Modules Nesse caso, todas as extensões ficam desativadas.
• Para execuções repetidas, omita -LicenseKey e o token salvo é utilizado. Ao passar -LicenseKey Em um servidor que já está registrado, a instalação falha com o código de saída 2. Ao instalar um arquivo que já está instalado, é exibida a mensagem “já instalado” e o programa encerra com o código 0.
• Códigos de saída: 0 – sucesso; 2 – já registrado; 3 – falha no registro ou sem token; 4 – nenhuma correspondência; 5 – falha na instalação; 14 – sem privilégios elevados.

O TuxCare.Installer.exe é um pacote WiX Burn e aceita os parâmetros padrão do Burn: /install, /uninstall, /repair, /layout, /quiet, /passive, /norestart, /forcerestart e /log. Execute-o com privilégios de administrador para uma instalação silenciosa:

TuxCare.Installer.exe /install /quiet /norestart /log C:\Temp\tuxcare-install.log

TuxCare.Installer.exe /uninstall /quiet /norestart desinstala e mantém o PHP instalado. Adicionando UninstallProducts=1 Além disso, desinstala o PHP e cancela o registro do servidor.

O número de compilação do TuxCare não é exibido pelo comando `php -i`. Ele aparece apenas no nome do arquivo zip, que segue o padrão php-<version>-tuxcare-els<N>-nts-Win32-vs16-x64-signed.zip. O script do PowerShell extrai o PHP para uma pasta com o mesmo nome do arquivo compactado, sem a extensão .zip. Cada arquivo zip contém o arquivo news.txt, e sua seção “Segurança (backports do TuxCare ELS)” lista os CVEs que foram backportados nessa compilação.

As atualizações são feitas manualmente. Para uma instalação do PHP sem painel de controle, substitua todos os arquivos na pasta do PHP, exceto os arquivos .ini; isso funciona na maioria dos casos.

Não há extensão do TuxCare para o Plesk no Windows. As compilações do ELS podem substituir o conteúdo das pastas PHP correspondentes do Plesk, mantendo as extensões de terceiros que já se encontram nessas pastas. A arquitetura da compilação deve corresponder à pasta PHP do Plesk que está sendo substituída, e o runtime do Visual C++ deve corresponder ao compilador da compilação, conforme listado na pergunta sobre arquiteturas acima.

Uma compilação fixa mantém a versão do PHP e altera apenas o número da versão, conforme explica a pergunta sobre o status da correção acima. A TuxCare publica esses dados de segurança para o ELS para PHP:

• Avisos de errata, abrangendo questões de segurança e erratas selecionadas para correção de bugs: https://security.tuxcare.com/errata/els_alt_php/<os>/
• Definições de patches OVAL para o OpenSCAP e ferramentas similares: https://security.tuxcare.com/oval/els_alt_php/<os>/oval.xml
• Avisos da CSAF com dados do VEX, que mostram quais CVEs conhecidas afetam versões específicas de pacotes: https://security.tuxcare.com/csaf/v2/els_alt_php/<os>/
• Um feed RSS para acompanhar as atualizações: https://tuxcare.com/cve-tracker/api/cves/export/rss?product=PHP (abre em uma nova aba)

<os> é o segmento do caminho do sistema operacional, como el8, ubuntu22.04 ou debian12. As errata e o CSAF abrangem o EL 6 a 10, o Ubuntu 16.04 a 24.04, o Debian 10 a 13 e o Alpine 3.23 a 3.24. O OVAL abrange os mesmos sistemas, exceto o Alpine. O Ubuntu 26.04 dispõe apenas do feed RSS. Os pacotes e seus metadados são assinados e distribuídos a partir de um registro gerenciado pela TuxCare. SBOMs nos formatos SPDX ou CycloneDX estão disponíveis para alguns pacotes, e a disponibilidade varia de acordo com o pacote; portanto, entre em contato com a TuxCare para obter informações sobre um pacote específico. Detalhes: dados de segurança legíveis por máquina (abre em uma nova aba).

A TuxCare oferece suporte ao CakePHP (abre em uma nova aba) no âmbito do ELS (Language Ecosystems), com versões corrigidas 2.10.24, 4.4.18 e 5.0.11 disponibilizadas a partir de um repositório do Composer no Nexus da TuxCare. Outras versões do CakePHP estão disponíveis mediante solicitação. O acesso requer credenciais do Nexus, que você obtém junto à TuxCare. A TuxCare também adiciona outros pacotes do Composer para PHP mediante solicitação.

Atualize para uma versão estável. O projeto original do PHP afirma que essa é a única correção completa. Até lá, siga estas etapas:

• Restrinja o acesso ao site. Use uma lista de permissões do grupo de segurança da AWS ou uma VPN.
• Conjunto session.upload_progress.enabled = 0. Isso elimina apenas uma via de ataque conhecida para o CVE-2026-109619. Defina essa configuração no arquivo php.ini, em um pool do PHP-FPM ou na configuração do servidor que seja aplicada antes da análise da solicitação e, em seguida, reinicie todos os workers. Não confie na função ini_set() nem em um arquivo .user.ini do PHP-FPM para isso.
• Bloqueie solicitações multipart (de formulário ou upload) se o site não precisar delas. Solicitações multipart criadas manualmente acionam a vulnerabilidade CVE-2026-109618.

O Imunify360 com o WAF ativado recebe automaticamente os conjuntos de regras de 8.83 a 8.88. O conjunto de regras 8.83 bloqueia a solicitação de exploração que está circulando publicamente. Esses conjuntos de regras funcionam como um patch virtual: eles bloqueiam padrões conhecidos de solicitação na borda do servidor, enquanto o código PHP vulnerável permanece inalterado. Até 23 de outubro de 2026, nenhuma regra bloqueia o caminho de esgotamento de memória do CVE-2026-109618. A cobertura das regras é diferente no LiteSpeed, e a publicação de status do CloudLinux (abre em uma nova aba) traz os detalhes. O Imunify360 com o WAF desativado, o ImunifyAV e o ImunifyAV+ não recebem cobertura desses conjuntos de regras. Apenas a atualização do PHP corrige as falhas.

Em alguns servidores, sim. O PHP incorporou correções para as versões 7.4, 8.0 e 8.1 em sua árvore de código-fonte sem marcar novas versões, e os scripts da comunidade agora recompilam o PHP a partir do código-fonte usando essas correções. Essa abordagem corrige um bug, mas apenas no PHP que você mesmo compilou e somente nas plataformas em que os scripts automatizam o processo. Pacotes de distribuições, mod_php e do LiteSpeed lsphp estão fora do escopo, e os binários recompilados nunca recebem outra atualização; portanto, o próximo CVE do PHP faz com que todo o processo de compilação recomece. O ELS para PHP fornece compilações corrigidas por meio de yum, dnf ou apt, continua aplicando patches no seu branch após o php2shell e publica dados OVAL que o seu scanner consegue ler.