CVE-2026-6722: PHP: Use-After-Free na extensão SOAP via apache:Map com chaves duplicadas
O CVE-2026-6722 é um use-after-free (CWE-416) na extensão SOAP do PHP, em que ponteiros para objetos são mantidos em um mapa global sem contagem de referências. Chaves duplicadas em um nó apache:Map podem deixar um ponteiro obsoleto para um objeto liberado, e o registro descreve a possibilidade de execução remota de código. O registro informa pontuação CVSS 3.1 de 9,8 e não consta no catálogo KEV.
Visão geral
O CVE-2026-6722 é uma falha de use-after-free (CWE-416) na extensão SOAP do PHP. Segundo o registro, a extensão armazena ponteiros para objetos PHP em um mapa global sem aumentar suas contagens de referência. Chaves duplicadas em um nó apache:Map podem levar à liberação de um objeto enquanto um ponteiro obsoleto continua em uso.
Impacto
- A NVD atribui pontuação 9,8 (crítica) pelo CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
- O CNA do PHP atribui 9,5 pelo CVSS 4.0.
- O registro afirma que um atacante que controle o corpo da requisição SOAP poderia obter execução remota de código. Trata-se de uma afirmação do registro, não verificada de forma independente aqui.
- A avaliação SSVC indica impacto técnico total.
Produtos e versões afetadas
- Série PHP 8.2, a partir de 8.2.0 e anteriores à 8.2.31.
- Série PHP 8.3, a partir de 8.3.0 e anteriores à 8.3.31.
- Série PHP 8.4, a partir de 8.4.0 e anteriores à 8.4.21.
- Série PHP 8.5, a partir de 8.5.0 e anteriores à 8.5.6.
O registro não lista explicitamente as versões corrigidas. Os limites superiores acima são as primeiras versões fora das faixas indicadas. Para detalhes oficiais, consulte o aviso de segurança do PHP.
Status de exploração
Segundo o registro, este CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A avaliação SSVC marca exploração como nenhuma e automatizável como não. A probabilidade EPSS é 0,00894, com percentil 0,59135.
Correção e mitigação
- Atualize o PHP para a primeira versão fora da faixa afetada do seu ramo: 8.2.31 ou superior, 8.3.31 ou superior, 8.4.21 ou superior, ou 8.5.6 ou superior.
- Se usa pacotes de distribuição, verifique se o fornecedor aplicou a correção em versões anteriores. Há errata da Red Hat referenciando este CVE, veja a página do CVE na Red Hat.
- Restrinja a exposição de endpoints SOAP a clientes confiáveis quando possível, e desative a extensão SOAP onde ela não for necessária.
Orientação para detecção
- Faça o inventário das versões do PHP e de quais hosts e contêineres têm a extensão SOAP habilitada.
- Revise logs de aplicação e web em busca de requisições SOAP incomuns ou malformadas, além de falhas ou reinícios inesperados de processos PHP.
Limitações das informações disponíveis
O registro não traz uma declaração explícita de versão corrigida, detalhes técnicos além da descrição e nenhuma confirmação independente da possibilidade de exploração. As pontuações vêm de versões e fontes diferentes do CVSS, e também há uma pontuação 7,7 pelo CVSS 3.1 de um fornecedor não identificado.
Perguntas frequentes
O CVE-2026-6722 está sendo explorado ativamente?
O registro não lista este CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. A avaliação SSVC marca exploração como nenhuma.
Quais versões do PHP são afetadas?
Segundo o registro, PHP 8.2 a partir de 8.2.0 e anteriores à 8.2.31, PHP 8.3 a partir de 8.3.0 e anteriores à 8.3.31, PHP 8.4 a partir de 8.4.0 e anteriores à 8.4.21, e PHP 8.5 a partir de 8.5.0 e anteriores à 8.5.6.
O que devo fazer primeiro?
Verifique se você usa o PHP com a extensão SOAP nessas faixas e atualize para 8.2.31, 8.3.31, 8.4.21 ou 8.5.6 ou superior, conforme o seu ramo, ou aplique a correção do fornecedor da sua distribuição.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.