A CISA, agência de segurança cibernética dos Estados Unidos, acrescentou em 28 de outubro de 2026 a falha CVE-2026-46300, do kernel Linux, ao catálogo de vulnerabilidades com exploração conhecida, o KEV. O registro relaciona essa falha à possibilidade de encadeamento com as vulnerabilidades PHP CVE-2026-109618 e CVE-2026-109619 para instalar webshells — arquivos usados para executar comandos no servidor — e executar comandos como root, a conta de maior privilégio do sistema.
Para o provedor que mantém aplicações PHP em servidores Linux, o novo registro muda o alcance da conferência: atualizar a aplicação não comprova que o sistema operacional também recebeu a correção necessária. Isso não significa que todo Linux esteja vulnerável, nem demonstra invasão em um ISP brasileiro.
A falha não foi descoberta hoje
Conhecida como Fragnesia, a CVE-2026-46300 já aparece no aviso da Canonical publicado em maio. A empresa descreve uma falha no tratamento de fragmentos de buffers de rede no subsistema XFRM ESP-in-TCP, capaz de permitir elevação local de privilégio ou, possivelmente, escape de contêiner. A novidade de outubro é sua inclusão no KEV, não o lançamento de uma correção inédita.
O alerta anterior do Entre Redes sobre PHP trata da atualização do serviço web. A verificação do kernel é complementar: aplicação, contêiner e sistema operacional não são a mesma camada. Corrigir uma delas não é evidência suficiente de que as demais estão protegidas.
O pacote certo depende do ambiente
Não existe um único número de versão que resolva a conferência para todas as distribuições. É preciso identificar distribuição, versão, variante de kernel e pacote completo instalado, além do kernel que está efetivamente em execução. Compare esses dados com o aviso do fornecedor, considerando as correções incorporadas aos seus próprios pacotes.
O boletim Ubuntu USN-8388-1, de 4 de junho, inclui essa CVE e lista pacotes para Ubuntu 22.04 LTS e 20.04 LTS. Ele orienta reiniciar após a atualização e alerta para possíveis efeitos sobre módulos de terceiros. Essa referência não substitui a consulta ao aviso específico de outras versões ou variantes.
No caso de plataforma contratada, o responsável pelo provedor deve pedir ao fornecedor a identificação do ambiente, o aviso aplicável e a evidência de correção. Uma confirmação genérica de que “o PHP está atualizado” não responde à pergunta sobre o kernel.
Um roteiro para o responsável técnico
Comece pelos sistemas em que o uso de PHP e Linux esteja confirmado. Registre quem administra o sistema operacional, inclusive quando o serviço é hospedado por terceiro. Separe a situação da aplicação da situação do host e dos ambientes de contêineres.
Depois, planeje a intervenção com o fornecedor: compatibilidade, cópia de segurança, janela de manutenção e procedimento de recuperação. Confirme se o ambiente passou a executar o kernel corrigido e valide os serviços comerciais e operacionais após a mudança. Guarde pacote, data, responsável e resultado do teste.
A atualização também não comprova, sozinha, que um ataque anterior não aconteceu. Se houver indícios de comprometimento, preserve registros e acione a resposta a incidentes; não trate a instalação de um pacote como encerramento da investigação.
Não confundir prioridade técnica com prazo brasileiro
O registro da CISA traz 31 de outubro de 2026 no campo de prazo de remediação e referência à sua diretiva federal. Essa data não deve ser apresentada como obrigação regulatória dos provedores brasileiros. Para o ISP, o sinal é de priorização conforme exposição e ambiente afetado, com validação do fornecedor e sem esperar que um alerta genérico determine sozinho a situação da sua rede.
