PT-2026-5026 · Phpunity · Phpunit

Aqhmal · Publicado 2026-01-27 · Atualizado 2026-04-18 · CVE-2026-24765

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do PHPUnit anteriores a 12.5.8 Versões do PHPUnit anteriores a 11.5.50 Versões do PHPUnit anteriores a 10.5.62 Versões do PHPUnit anteriores a 9.6.33 Versões do PHPUnit anteriores a 8.5.52

Descrição O PHPUnit, um framework de testes para PHP, contém uma falha relacionada à desserialização insegura de dados de cobertura de código durante a execução de testes PHPT. O problema reside no método cleanupForCoverage(), que desserializa arquivos de cobertura de código sem validação adequada. Isso pode levar à execução remota de código se um arquivo .coverage malicioso estiver presente antes da execução do teste PHPT. A vulnerabilidade é acionada quando um arquivo .coverage, que não deveria existir antes da execução do teste, é desserializado sem restrições. Um atacante com acesso de escrita local em arquivos pode colocar um objeto serializado malicioso contendo um método wakeup() no sistema de arquivos, resultando em execução arbitrária de código durante execuções de teste com cobertura de código habilitada. Esta vulnerabilidade é particularmente relevante em ataques de pipeline de CI/CD, ambientes de desenvolvimento local e cenários envolvendo dependências comprometidas. Os mantenedores abordaram isso tratando arquivos .coverage pré-existentes como uma condição de erro, emitindo uma mensagem de erro clara em vez de sanitizar silenciosamente a entrada. A vulnerabilidade requer acesso de escrita local em arquivos no local onde o PHPUnit armazena ou espera arquivos de cobertura de código para testes PHPT.

Recomendações Atualize para a versão 12.5.8 ou posterior do PHPUnit. Atualize para a versão 11.5.50 ou posterior do PHPUnit. Atualize para a versão 10.5.62 ou posterior do PHPUnit. Atualize para a versão 9.6.33 ou posterior do PHPUnit. Atualize para a versão 8.5.52 ou posterior do PHPUnit.

Exploit

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2026-24765

GHSA-VVJ3-C3RP-C85P

Produtos afetados

Phpunit

Referências · 33

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/24xxx/CVE-2026-24765.json · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/phpunit/phpunit/CVE-2026-24765.yaml · Exploit
• https://github.com/sebastianbergmann/phpunit · Nota
• https://github.com/sebastianbergmann/phpunit/security/advisories/GHSA-vvj3-c3rp-c85p · Aviso do Fabricante
• https://github.com/sebastianbergmann/phpunit/commit/3141742e00620e2968d3d2e732d320de76685fda · Correção
• https://github.com/sebastianbergmann/phpunit/releases/tag/12.5.8 · Nota
• https://github.com/sebastianbergmann/phpunit/releases/tag/8.5.52 · Nota
• https://github.com/sebastianbergmann/phpunit/releases/tag/10.5.63 · Nota
• https://github.com/sebastianbergmann/phpunit/releases/tag/9.6.33 · Nota
• https://github.com/sebastianbergmann/phpunit/releases/tag/11.5.50 · Nota
• https://github.com/sebastianbergmann/phpunit/commit/613d142f5a8471ca71623ce5ca2795f79248329e · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-24765 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-vvj3-c3rp-c85p · Aviso do Fabricante
• https://twitter.com/CrowdCyber_Com/status/2016867717387555113 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-24765 · Nota de Segurança