O que aconteceu
Estou preocupado com a postura da Locaweb diante de duas vulnerabilidades críticas de segurança do PHP, conhecidas como PHP2Shell e identificadas pelos códigos CVE-***** e CVE-*****.
Em outubro de 2026, foram lançadas versões corrigidas do PHP para tratar essas vulnerabilidades: 8.3.36, 8.4.27 e 8.5.12.
Ao entrar em contato com o suporte técnico da Locaweb para verificar a disponibilidade dessas versões, recebi a seguinte resposta: "Não temos essas versões".
Como medida preventiva, a empresa informou que desabilitou a diretiva `session.upload_progress` em todos os servidores e que está trabalhando em uma correção definitiva.
É justamente aqui que está o problema.
Desabilitar uma funcionalidade pode ajudar a reduzir a exposição a determinados riscos, mas isso não significa que as vulnerabilidades foram efetivamente corrigidas. A medida adotada não comprova, por si só, que as falhas CVE-***** e CVE-***** deixaram de representar um risco para os ambientes hospedados.
Para explicar de forma simples: é como estar doente, ter febre e tomar uma dipirona. Ela pode controlar a febre, mas não necessariamente trata a doença que a provocou. Da mesma forma, desabilitar uma funcionalidade pode reduzir um sintoma do problema sem resolver sua causa.
Além da preocupação com a segurança, o próprio suporte reconhece que essa alteração pode comprometer a funcionalidade visual de acompanhamento do progresso de uploads nas aplicações hospedadas.
Entendo que atualizações de infraestrutura exigem planejamento, testes e procedimentos de implantação. O que espero de uma empresa de hospedagem é transparência sobre os riscos, medidas de proteção tecnicamente fundamentadas e um prazo razoável para disponibilizar as correções necessárias.
Não considero suficiente informar que as versões corrigidas não estão disponíveis e que uma solução definitiva está em desenvolvimento, sem apresentar um cronograma ou explicar de forma clara a eficácia da medida paliativa adotada.
Quero respostas objetivas da Locaweb:
- Por que as versões corrigidas do PHP não estão disponíveis nos servidores?
- A desativação de `session.upload_progress` protege efetivamente contra as duas vulnerabilidades ou apenas reduz parte dos riscos?
- Quais medidas adicionais estão sendo adotadas para proteger os ambientes hospedados?
- Qual é o prazo para disponibilizar as versões corrigidas ou implementar uma solução equivalente?
Não quero receber apenas uma resposta padrão ou ser direcionado à página de status. Quero um posicionamento técnico claro e um compromisso concreto com a solução.
Segurança não é simplesmente desabilitar uma funcionalidade e aguardar. É necessário demonstrar que os riscos foram tratados adequadamente.
Espero que a Locaweb esclareça a situação e apresente uma solução definitiva, com transparência e responsabilidade perante seus clientes.