CVE-2026-25237: PEAR Pearweb: execução de código PHP via modificador /e do preg_replace

Visão geral

O PEAR é um framework e sistema de distribuição para componentes PHP reutilizáveis. Este registro trata da aplicação Pearweb, em que o tratamento de e-mails de atualização de bugs usa preg_replace() com o modificador /e. O aviso de segurança no GitHub informa que o problema foi corrigido na versão 1.33.0.

Impacto

O registro descreve a possibilidade de execução de código PHP quando conteúdo controlado por um atacante alcança a substituição avaliada.
O NVD atribui nota 9.8 pelo CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica ataque pela rede, baixa complexidade, sem privilégios e sem interação do usuário.
O GitHub lista nota 9.2 pelo CVSS 4.0.
A fraqueza é classificada como CWE-624 (Executable Regular Expression Error).

Produtos e versões afetadas

Produto: Pear Pearweb, versões anteriores à 1.33.0.
O registro não lista outras faixas de versões afetadas.

Status de exploração

O CISA KEV não lista este CVE no registro.
Nenhuma exploração ativa confirmada aparece nas fontes consultadas.

Correção e mitigação

Atualize o Pearweb para a versão 1.33.0 ou superior.
Até a atualização, verifique se o recurso de atualização de bugs por e-mail está habilitado e restrinja quais fontes externas podem enviar conteúdo que chegue a ele.
Revise código personalizado do seu ambiente que use o modificador /e com preg_replace().

Orientações de detecção

Analise os logs da aplicação e do tratamento de e-mails em busca de envios de atualização de bugs incomuns.
Pesquise no código implantado chamadas de preg_replace() que usem o modificador /e.
Monitore os servidores web quanto a comportamento inesperado de processos PHP e investigue anomalias.

Limitações das informações disponíveis

O registro não descreve o caminho exato do código vulnerável, as condições necessárias nem qualquer prova de conceito pública.
Não há dados de disponibilidade de exploit, pontuação EPSS ou dados SSVC.
A lista de correções do registro está vazia; a versão corrigida vem da descrição e da referência do aviso.
O número de instalações do Pearweb expostas é desconhecido.

Perguntas frequentes

Esta vulnerabilidade é conhecida como explorada ativamente?

O CISA KEV não lista este CVE no registro, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

Qual versão corrige o problema?

A descrição do registro e a referência do aviso no GitHub indicam que o problema foi corrigido na versão 1.33.0 do Pearweb.

Por que a severidade é classificada como crítica?

O NVD atribui nota 9.8 pelo CVSS 3.1, com vetor de ataque pela rede, baixa complexidade, sem privilégios e sem interação do usuário.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.