PT-2026-34558 · Phpunity · Phpunit

Kayw-Geek · Publicado 2026-04-18 · Atualizado 2026-05-26 · CVE-2026-41570

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas PHPUnit versões anteriores a 12.5.22 PHPUnit versões anteriores a 13.1.6

Descrição O PHPUnit encaminha configurações PHP INI para processos filhos como argumentos de linha de comando -d name=value sem neutralizar metacaracteres INI. Como o analisador INI do PHP trata quebras de linha como separadores de diretivas, um invasor que consiga influenciar um valor INI pode injetar diretivas arbitrárias na configuração do processo filho. Isso pode ser feito modificando entradas <ini name="…" value="…"/> nos arquivos phpunit.xml ou phpunit.xml.dist, ou influenciando configurações herdadas do runtime PHP do host via ini get all(). Ao definir a diretiva auto prepend file para um caminho controlado pelo invasor, é possível obter a execução remota de código no processo filho. Este problema é particularmente relevante em cenários de Execução de Pipeline Envenenada (Poisoned Pipeline Execution), onde um contribuidor não confiável envia um pull request modificando o phpunit.xml com caracteres de nova linha invisíveis que são executados por um sistema de CI sem isolamento. A função vulnerável é PHPUnitUtilPHPJobRunner::settingsToParameters().

Recomendações Atualize para a versão 12.5.22. Atualize para a versão 13.1.6. Audite o phpunit.xml e phpunit.xml.dist para garantir que nenhuma entrada <ini value="…"> contenha caracteres de nova linha, " ou ;. Execute o PHPUnit em pull requests apenas em runners conteinerizados e efêmeros que descartem o estado do sistema de arquivos entre os jobs. Exija revisão humana antes de executar pull requests de forks. Aplique proteção de branch em workflows que manipulam segredos. Restrinja o acesso de modificação ao phpunit.xml, tratando as entradas <ini> como sensíveis do ponto de vista de segurança. Certifique-se de que o php.ini do host não contenha valores com quebras de linha incorporadas ou metacaracteres não escapados.

Exploit

Correção

RCE

Argument Injection

Enumeração de Fraquezas

CWE-93

CWE-88

Identificadores relacionados

CVE-2026-41570

GHSA-QRR6-MG7R-M243

Produtos afetados

Phpunit

Referências · 15

• 🔥 https://github.com/sebastianbergmann/phpunit/pull/6592 · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/phpunit/phpunit/CVE-2026-41570.yaml · Exploit
• https://github.com/sebastianbergmann/phpunit/security/advisories/GHSA-qrr6-mg7r-m243 · Aviso do Fabricante
• https://github.com/sebastianbergmann/phpunit · Nota
• https://osv.dev/vulnerability/GHSA-qrr6-mg7r-m243 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-41570 · Aviso do Fabricante
• https://twitter.com/the_yellow_fall/status/2046955936045220221 · Publicação no Twitter
• https://security-tracker.debian.org/tracker/CVE-2026-41570 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-41570 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-41570 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2052767579756953888 · Publicação no Twitter
• https://twitter.com/KaitanSecurity/status/2052773027570467166 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-41570 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-41570 · Nota de Segurança
• https://twitter.com/DFIR_Lab/status/2059093492542947507 · Publicação no Twitter