Pedro e equipe, poderiam disponibilizar uma atualização de segurança do PHP compatível com o MK-AUTH e orientar os usuários sobre a aplicação?
Em 21/10/2026, o projeto PHP publicou um alerta sobre duas vulnerabilidades críticas:
- CVE-2026-109618: corrupção de memória no tratamento de falta de memória.
- CVE-2026-109619: reutilização indevida de estado interno entre requisições.
As falhas podem permitir execução remota de código sem autenticação, conforme as condições do ambiente. O aviso inclui PHP-FPM e Apache com mod_php; utilizar Nginx como proxy reverso não substitui a correção.
As primeiras versões corrigidas são 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Para versões antigas, é necessário confirmar a disponibilidade de correções adaptadas pelo fornecedor.
Nas instalações que verificamos, encontramos PHP 8.0.30 próprio do MK-AUTH, compilado em 2024, além de PHP 7.3.31 em execução. Por isso, atualizar apenas os pacotes do sistema operacional pode não alcançar todos os ambientes PHP utilizados.
Solicitamos, com urgência:
- Confirmação das versões do MK-AUTH afetadas.
- Atualização oficial compatível com o sistema e seus componentes.
- Procedimento de instalação, validação e reinicialização dos processos necessários.
- Orientações temporárias de proteção enquanto a atualização não estiver disponível.
A preocupação é o possível comprometimento de dados de clientes, cobranças e credenciais acessíveis pelo servidor. Não estamos relatando uma invasão confirmada, mas uma exposição que precisa ser tratada preventivamente.
Referência oficial: Alerta de segurança do projeto PHP.
Os avisos oficiais do projeto PHP estão nestes links:
- CVE-2026-109618: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
- CVE-2026-109619: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
Comunicado no PHP.net: https://www.php.net/archive/2026.php
Respostas
Segurança do MKAuth – Cloudflare Tunnel, WAF e AppArmor
Em nosso ambiente MKAuth em produção, utilizamos o Cloudflare Tunnel integrado ao WAF (Web Application Firewall) habilitado, proporcionando uma camada adicional de proteção contra requisições maliciosas, tentativas de exploração de vulnerabilidades e acessos suspeitos.
Além da proteção na Cloudflare, realizamos testes de segurança com o AppArmor, que está ativo em modo
enforce, protegendo os seis serviços PHP do MKAuth: administrativo, API, boletos, central do cliente, público e retorno bancário.Durante a auditoria, identificamos 155 operações bloqueadas pelo AppArmor, demonstrando que as políticas de segurança estão sendo efetivamente aplicadas pelo sistema operacional.
Os resultados foram positivos, confirmando que o AppArmor está funcionando como uma camada adicional de proteção, restringindo operações não autorizadas dos processos PHP.
Dessa forma, nosso ambiente conta com três mecanismos complementares de segurança:
Cloudflare Tunnel: publicação segura dos serviços, sem necessidade de exposição direta das portas web.
Cloudflare WAF: filtragem de requisições HTTP/HTTPS potencialmente maliciosas.
AppArmor: confinamento dos processos PHP e restrição de operações no servidor.
Conclusão: os testes demonstraram resultados positivos quanto ao funcionamento do AppArmor. Entretanto, essas proteções não substituem as atualizações de segurança do PHP 8.0.30, sendo importante que o MKAuth disponibilize uma versão atualizada e com suporte oficial.
amigos ainda estou esperando saber como funciona o bug e se o apparmor protege, eu testei em alguns mk-auth's em alguns sites como https://flawfence.com/en/tools/php2shell/ e para mim aparece negativo...
Bom dia pedro e novidades?
podemos rodar um apt-get update e apt-get full-upgrade -y no debian para atualizaro PHP? não vai quebrar o código funcional do sistema mk-auth?
necessitamos de auxilio urgente referente a essas CVEs....que são perigosas e necessitamos ter os sistemas online para receber os retornos bancários dos APIs e gateways de pagamento.
ajuda ai Francisco Pedro da Costa Filho dá uma resposta para nós.
Aqui tirei todos os mk-auth o acesso externo, ate termos a solução para isso
atualização para mkauth sai quando
🌎 Ajuda sistema MK-AUTH
Francisco Pedro da Costa Filho
Isso é sério!