CVE-2026-24765 in phpunit
Sumário
de VulDB • 30/05/2026
O PHPUnit é um framework de testes para PHP. Foi descoberta uma vulnerabilidade nas versões anteriores a 12.5.8, 11.5.50, 10.5.62, 9.6.33 e 8.5.52, envolvendo a desserialização insegura de dados de cobertura de código durante a execução de testes PHPT. A vulnerabilidade existe no método `cleanupForCoverage()`, que desserializa arquivos de cobertura de código sem validação, potencialmente permitindo a execução remota de código (RCE) se arquivos `.coverage` maliciosos estiverem presentes antes da execução do teste PHPT. A vulnerabilidade ocorre quando um arquivo `.coverage`, que não deveria existir antes da execução do teste, é desserializado sem a restrição do parâmetro `allowed_classes`. Um atacante com acesso de escrita em arquivos locais pode colocar um objeto serializado malicioso com um método `__wakeup()` no sistema de arquivos, levando à execução de código arbitrário durante a execução dos testes com a instrumentação de cobertura de código habilitada. Esta vulnerabilidade requer acesso de escrita em arquivos locais no local onde o PHPUnit armazena ou espera arquivos de cobertura de código para testes PHPT. Isso pode ocorrer através de ataques em pipelines de CI/CD, no ambiente de desenvolvimento local e/ou dependências comprometidas. Em vez de apenas sanitizar silenciosamente a entrada via `['allowed_classes' => false]`, o mantenedor optou por tornar o estado anômalo explícito, tratando arquivos `.coverage` pré-existentes para testes PHPT como uma condição de erro. A partir das versões 12.5.8, 11.5.50, 10.5.62, 9.6.33, quando um arquivo `.coverage` é detectado para um teste PHPT antes da execução, o PHPUnit emitirá uma mensagem de erro clara identificando o estado anômalo. As organizações podem reduzir o risco efetivo desta vulnerabilidade por meio de uma configuração adequada de CI/CD, incluindo executores efêmeros, aplicação de revisão de código, proteção de branches, isolamento de artefatos e controle de acesso.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.