PHP-FPM: Contornando Restrições de Acesso FastCGI via IPv6

Uma vulnerabilidade foi descoberta no PHP CVE-2026-91768, envolvendo validação inadequada de endereço IP no mecanismo listen.allowed_clients. Esta configuração do PHP-FPM restringe a lista de clientes permitidos para conectar ao FastCGI. Devido a um erro no processamento de IPv6, o programa comparava apenas os primeiros 96 bits em vez do endereço completo de 128 bits.

Um atacante deve estar em uma rede a partir da qual o endpoint FastCGI seja acessível e usar um endereço IPv6 cujos primeiros 96 bits correspondam aos de um cliente permitido. Como a comparação é incompleta, a verificação permite tal conexão mesmo que o endereço completo não corresponda ao endereço permitido. O atacante pode contornar a restrição de rede e acessar o FastCGI sem a autorização necessária. Se a interface for acessível a partir de um segmento de rede comprometido ou adjacente, isso pode possibilitar interação não autorizada com o PHP-FPM e a divulgação de dados confidenciais.

Artigo: https://daubois.dev/blog/cve-2026-91768-php-fpm-ipv6-allowed-clients-bypass/