Como verificar se as suas aplicações autoalojadas utilizam uma versão vulnerável do PHP

Eva Wong

IceWhale author

Eva Wong é a Redatora Técnica e e entusiasta residente na ZimaSpace. Uma geek de longa data com paixão por homelabs e software de código aberto, ela é especialista em traduzir conceitos técnicos complexos em guias acessíveis e práticos . Eva acredita que o auto-hospedagem deve ser divertida, não intimidante. Através dos seus tutoriais, ela capacita a comunidade adesmistificar configurações de hardware , desde a construção do seu primeiro NAS até dominar os contêineres Docker., from building their first NAS to mastering Docker containers.

Conceptual guide: CHECK THE RUNNING PHP. Identify service; Inspect runtime; Verify vendor fix.

Um anfitrião pode executar várias versões do PHP em simultâneo. A versão apresentada por uma shell SSH pode pertencer a uma ferramenta de linha de comandos, enquanto um site público utiliza outro ambiente de execução. Para avaliar as vulnerabilidades do PHP de outubro de 2026, associe cada resultado de versão a uma aplicação e a um serviço concretos.

Verifique o ambiente que serve a aplicação, não apenas o PHP de linha de comandos do anfitrião. Compare a versão exata do ramo de execução ou a revisão do pacote da distribuição com o aviso de segurança aplicável, tendo em conta as correções retroportadas documentadas pelo fornecedor, e remova qualquer página de diagnóstico temporária após a verificação.

1. Identificar aplicações que utilizam PHP

Faça uma lista das aplicações, dos métodos de instalação e das vias de acesso externo. Consulte a documentação ou os metadados do pacote da aplicação para determinar se utiliza PHP. Inclua serviços auxiliares, como executores de tarefas cron e filas, quando utilizarem a mesma imagem da aplicação.

Não deduza que há utilização de PHP com base na marca do NAS. Um dispositivo que executa várias aplicações requer uma avaliação por serviço.

2. Inspecionar uma implementação Compose

docker compose ps
docker compose images
docker compose exec -T app php -v
docker compose exec -T app php --ini

Execute estes comandos a partir do diretório do projeto Compose pretendido; substitua app pelo serviço que contém o PHP. Os comandos identificam os contentores atuais e consultam o binário nesse serviço. Se o PHP for executado num serviço php ou fpm separado, inspecione esse serviço.

A ausência do executável php não prova que a aplicação é segura. Imagens mínimas, caminhos alternativos para o binário ou serviços de execução separados podem exigir o método de inspeção indicado pelo responsável pela manutenção. Não instale pacotes num contentor de produção apenas para concluir uma verificação de versão.

3. Inspecionar o PHP instalado no anfitrião

command -v php
php -v
php --ini

Isto descreve o PHP da shell. Em seguida, verifique a configuração do servidor Web e o gestor de serviços para identificar o pool PHP-FPM, o módulo Apache ou outro processador que serve o site. Confirme a versão do pacote desse componente e o aviso de segurança do fornecedor. A documentação do PHP indica que as localizações e o comportamento da configuração variam consoante a interface do servidor.

Se um painel disponibilizar informações privadas sobre o ambiente de execução do serviço Web efetivo, essas informações podem complementar o inventário. Não deixe online uma página pública com phpinfo(); pode revelar detalhes sem relação com a verificação.

4. Compare as provas com o aviso de segurança

Para o incidente de 21 de outubro, as versões de segurança disponibilizadas a montante são PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Uma versão posterior suportada da mesma série pode incluir essas correções. Se uma distribuição aplicar correções de segurança retroativamente, utilize a revisão do pacote e o aviso de segurança correspondentes, em vez de rejeitar ou aprovar um pacote apenas com base no número que aparenta ser da versão a montante.

Registe o resultado como um de três estados: correção confirmada, afetado confirmado ou por resolver enquanto aguarda provas do fornecedor. No caso de software sem suporte, defina uma atualização para uma versão suportada ou uma correção explícita do fornecedor que o mantém. Um resultado por resolver deve continuar visível na sua lista de manutenção.

5. Confirme o que acontece após a atualização

Repita as mesmas verificações após a implementação, incluindo em processos de trabalho e contentores separados. Registe o identificador da imagem ou a revisão do pacote e o estado do reinício. Teste um pedido autenticado normal e as funções que a sua família utiliza efetivamente.

Num ZimaCube 2 de nuvem pessoal, guarde este registo juntamente com a configuração da aplicação e as instruções de cópia de segurança. O resultado útil é uma declaração rastreável, como «esta aplicação utiliza este ambiente de execução com as correções aplicadas», em vez de «o NAS foi atualizado». Se encontrar um contentor afetado, consulte o guia de atualização associado antes de alterar os respetivos volumes de dados.

Explore o NAS doméstico de nuvem pessoal ZimaCube 2 para o seu armazenamento privado e configuração de aplicações autoalojadas. A segurança do software depende dos serviços instalados, da sua configuração e de atualizações verificadas.

Continue a série sobre segurança do PHP

Fontes e âmbito

Verificado a 22 de outubro de 2026. As recomendações de implementação devem ser adaptadas à sua aplicação e à documentação do fornecedor; estes artigos não comprovam a exposição de produtos específicos.