CVE-2026-34084
O que é CVE-2026-34084?
PhpSpreadsheet é uma biblioteca para leitura e gravação de arquivos de planilhas. Nas versões 1.30.2 e anteriores, 2.0.0 a 2.1.14, 2.2.0 a 2.4.3, 3.3.0 a 3.10.3 e 4.0.0 a 5.5.0, quando o argumento do nome do arquivo para IOFactory::load() é controlado pelo usuário, um invasor pode fornecer um caminho de wrapper de fluxo PHP (como phar://, ftp:// ou ssh2.sftp://) que passa na verificação is_file() em File::assertFile(). O wrapper phar:// aciona a desserialização dos metadados PHAR, o que pode levar à execução remota de código se uma cadeia de gadgets adequada estiver disponível no aplicativo. O ftp:// e ssh2.sftp:
Perguntas frequentes
CVE-2026-34084 tem uma pontuação CVSS de N/D/10, classificada como Desconhecido. Revise a lista de produtos afetados e aplique os patches do fornecedor.
O CVSS (Common Vulnerability Scoring System) avalia a gravidade das vulnerabilidades de 0,0 a 10,0. CVE-2026-34084 pontua N/D/10 (Desconhecido). Pontuações de 9,0–10,0 são Críticas, 7,0–8,9 Altas, 4,0–6,9 Médias e abaixo de 4,0 Baixas.
A lista de dispositivos confirmados como afetados por CVE-2026-34084 é mostrada na seção "Dispositivos afetados" acima. Compare sua versão de firmware com o aviso de segurança do fornecedor e aplique o último patch.
Aplique a última atualização de firmware ou software do fornecedor. Consulte a seção de Referências acima para avisos oficiais e notas de patch. Se nenhum patch estiver disponível, considere desativar o recurso afetado ou isolar o dispositivo de redes não confiáveis.