PHP revela nova vulnerabilidade dois dias após correções emergenciais
O projeto PHP alertou, em 23 de outubro de 2026, sobre uma falha que pode levar à execução remota de código em servidores web. Identificada como CVE-2026-115560, a vulnerabilidade foi divulgada apenas 48 horas depois da publicação de atualizações emergenciais para corrigir outros problemas críticos, conhecidos como PHP2Shell.
A nova falha não afeta indistintamente todas as aplicações que utilizam PHP. Sua exploração depende de uma combinação específica de configurações de sessões e do acompanhamento de envios de arquivos. Como essa combinação é considerada incomum, os mantenedores avaliaram que o risco é baixo e não lançaram uma correção fora do calendário regular.
A vulnerabilidade é diferente das CVE-2026-109618 e CVE-2026-109619, corrigidas em 21 de outubro nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Portanto, instalar essas atualizações não elimina o novo problema.
Quais configurações deixam a aplicação exposta
De acordo com o alerta, a CVE-2026-115560 pode ser explorada quando várias condições estão presentes ao mesmo tempo. Inicialmente, o parâmetro `session.serialize_handler` deve estar definido como `php_binary` ou `php_serialize`. Depois, a aplicação precisa alterar esse manipulador dinamicamente para `php` por meio da função `ini_set()`, antes de chamar `session_start()`.
Também é necessário que o recurso de acompanhamento do progresso de uploads de sessão esteja habilitado. Essa funcionalidade permite exibir o andamento do envio de arquivos ao servidor e vem ativada por padrão no PHP.
Assim, aplicações que não trocam dinamicamente o manipulador de serialização de sessões não estão sujeitas a essa vulnerabilidade específica, conforme a descrição divulgada. Ainda assim, administradores devem verificar as configurações efetivamente aplicadas, especialmente em sistemas que tenham parâmetros definidos tanto no servidor quanto no código da aplicação.
Medida temporária recomendada
Enquanto a correção definitiva não é publicada, a equipe do PHP recomenda desativar o acompanhamento do progresso de uploads. A configuração pode ser feita no arquivo `php.ini`:
“`ini
session.upload_progress.enabled = Off
“`
A recomendação já havia sido apresentada como medida de mitigação para a CVE-2026-109619. Por isso, quem desativou o recurso anteriormente e manteve essa opção em vigor não precisa fazer uma nova alteração para reduzir o risco relacionado à CVE-2026-115560.
Após modificar a configuração, é importante confirmar que a mudança foi carregada pelo serviço correto. Dependendo do ambiente, pode ser necessário reiniciar o servidor web ou o processo PHP. Também convém verificar se a aplicação não reativa o recurso em tempo de execução e se todos os servidores do ambiente receberam a mesma configuração.
A desativação pode afetar sistemas que exibem aos usuários uma barra ou indicação de progresso durante o envio de arquivos. Antes de aplicá-la em produção, equipes técnicas devem avaliar esse possível impacto funcional. Se o recurso não for necessário, mantê-lo desligado pode ser uma medida simples para reduzir a superfície de ataque.
Correção ainda sem data detalhada
O PHP informou que pretende incluir a solução em uma atualização regular e publicar, junto com ela, um comunicado técnico completo. Até o momento, não especificou quais versões são afetadas, em quais lançamentos a correção será incorporada nem qual será a classificação de gravidade da falha. Também não esclareceu se há uma relação técnica entre a nova vulnerabilidade e a CVE-2026-109619.
Enquanto essas informações não forem divulgadas, administradores devem acompanhar as atualizações oficiais do PHP e aplicar as novas versões assim que estiverem disponíveis, após os testes necessários. A mitigação temporária não substitui a instalação da correção definitiva quando ela for publicada.
Outra medida útil é revisar o uso de `ini_set()` em aplicações que manipulam sessões. A busca por alterações de `session.serialize_handler` ajuda a identificar se algum componente muda esse parâmetro durante a execução. Essa verificação deve considerar bibliotecas, plugins e módulos de terceiros, não apenas o código principal do sistema.
Tentativas observadas estão ligadas às falhas anteriores
Até a divulgação do alerta, não havia registros de exploração da CVE-2026-115560. As atividades maliciosas relatadas estavam relacionadas às duas vulnerabilidades PHP2Shell corrigidas em 21 de outubro, e não à nova falha.
A Amazon informou que seus sistemas de monitoramento identificaram uma tentativa de exploração em 17 de outubro, quatro dias antes da divulgação pública das vulnerabilidades anteriores. Após o anúncio de 21 de outubro, a Cloudflare observou um aumento expressivo nas tentativas: foram dezenas de milhares nos primeiros 45 minutos, chegando à casa dos milhões nas primeiras horas do dia seguinte.
Pesquisadores da Sophos e da Arctic Wolf também detectaram tentativas de usar as falhas PHP2Shell para instalar uma variante da botnet Mirai, malware que compromete dispositivos e os integra a redes usadas em ataques cibernéticos. Não houve confirmação de que essas tentativas tenham sido bem-sucedidas.
Empresas como Previdian e Wordfence relataram varreduras e sondagens em busca de sistemas vulneráveis, mas sem evidências de execução de código confirmada. Pesquisadores também apontaram dificuldades para desenvolver métodos de exploração confiáveis.
Para organizações que administram aplicações PHP, a prioridade é distinguir os riscos: manter atualizadas as versões que corrigiram as falhas PHP2Shell, aplicar a desativação temporária do acompanhamento de uploads e verificar se a configuração de sessões combina com as condições descritas para a nova CVE. Até agora, não há relatos de ataques que explorem a CVE-2026-115560.