Treze dias depois do patch de emergência, o caso PHP2Shell continua aberto. E a conta que ninguém pagou ainda é a de quem acha que aplicar o 8.5.12 resolveu tudo.
Do outro lado, doze dias desde que as duas falhas de execução remota do ksmbd viraram públicas, e a correção ainda não chegou à árvore estável do kernel. Dois casos, a mesma janela aberta.
O que o patch do PHP cobriu e o que ficou de fora
O que o patch cobriu: as CVEs 2026-109618 e 2026-109619, corrigidas nas ramificações 8.5, 8.4, 8.3 e 8.2, com backport manual para 7.4, 8.0 e 8.1.
O que o patch não cobriu: a CVE-2026-115560, publicada em aviso informacional dois dias depois, no mesmo subsistema de sessão, com mitigação de uma linha e correção só no ciclo regular. E as reivindicações de bypass do patch que circulam desde então: parte contestada pela análise técnica, parte ainda sem parecer definitivo.
O que a exploração mostrou
A exploração real não esperou o calendário. A AWS detectou tráfego de exploração antes da divulgação pública, a SecurityWeek reportou operadores do Mirai com bypass de ASLR, e a cobertura técnica desta semana descreve o exploit encadeado com outras falhas até raiz de firewall. O PHP roda em sete em cada dez sites da web, e o relógio desses três vetores não é o mesmo.
O retrato do ksmbd, 12 dias depois
Nenhum identificador CVE atribuído, porque o projeto do kernel só numera depois que a correção chega à estável. A correção de um dos caminhos caminha no ciclo de desenvolvimento, sem data para as distribuições. O segundo caminho segue sem correção nomeada. O servidor SMB embutido no Linux segue exposto para quem o roda.
O que fazer hoje, nos dois casos
No PHP, nesta ordem: confirmar a versão do PHP em cada host, aplicar a linha session.upload_progress.enabled=0 se o ambiente não usa a feature, inventariar quem ainda está em 7.4, 8.0 ou 8.1 e acompanhar o advisory completo da 115560.
No kernel: confirmar com systemctl status ksmbd e lsmod | grep ksmbd; desligar o módulo se o servidor não precisa de compartilhamento SMB; fechar a porta 445 no firewall; e quem depende do serviço acompanha a árvore estável de perto.
Conclusão
A lição não é sobre o ksmbd nem sobre o PHP. É sobre a janela entre detalhe público e correção disponível, o único período que o atacante precisa, e sobre o inventário que a fecha: host por host, versão por versão, módulo carregado por kernel, mitigação documentada. Os três artigos desta série (PHP2Shell, CVE-2026-115560 e ksmbd) contam a mesma história de ângulos diferentes. O inventário de superfície é o capítulo que fecha todas elas.