Em outubro de 2026, o projecto PHP lançou actualizações de segurança nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para corrigir duas vulnerabilidades críticas, divulgadas colectivamente com a designação PHP2Shell, que permitem a execução remota de código (RCE) sem autenticação:
- CVE-2026-109618 — RCE via OOM corruption (trata de forma inválida dados de pedido parcialmente inicializados após um erro de memória)
- CVE-2026-109619 — RCE via stale global state (estado global obsoleto, libertado mas reutilizado em pedidos subsequentes)
Partilhamos esta informação em resposta às questões colocadas pelos clientes relativamente aos produtos DrayTek.
Impacto nos produtos DrayTek
A DrayTek confirmou que nenhum router, ponto de acesso (Access Point) ou switch actualmente disponível utiliza PHP. Os produtos DrayTek recorrem, na sua maioria, ao DrayOS — um sistema operativo proprietário e de código fechado — ou a um sistema operativo híbrido. Nenhum dos modelos utiliza PHP.
Foi igualmente confirmado que o VigorACS não utiliza PHP na sua arquitectura de aplicação, pelo que não depende de um ambiente de execução PHP (PHP runtime) e, por esse motivo, não é afectado por vulnerabilidades que visem especificamente instalações de PHP ou aplicações Web baseadas em PHP.
Medidas adoptadas
A DrayTek aplicou as actualizações de segurança relevantes do PHP aos seus serviços e plataformas globais, incluindo: website global, MyVigor, DrayDDNS, Partner Portal, GetIP, Live Demo, serviços de transferência de firmware, VPN Matcher, loja online e serviços de formação.
Saiba mais