Nova vulnerabilidade CVE-2026-115560 identificada no PHP
A equipe de desenvolvimento do PHP alertou, em 23 de outubro, para uma nova vulnerabilidade, a CVE-2026-115560, que permite executar código remotamente em um servidor web. O aviso foi divulgado dois dias após o lançamento das correções emergenciais para as vulnerabilidades críticas PHP2Shell.
O problema afeta apenas aplicações com uma configuração incomum, por isso os desenvolvedores consideram improvável que seja explorado. Não haverá atualização extraordinária. Até a próxima versão programada, os especialistas recomendam desativar o acompanhamento do progresso de envio de arquivos na sessão (session upload progress).
A vulnerabilidade só se manifesta quando três condições são atendidas ao mesmo tempo. Primeiro, o parâmetro session.serialize_handler tem o valor php_binary ou php_serialize. Segundo, durante a execução, a aplicação altera esse valor para php por meio de ini_set(), antes da chamada a session_start(). Terceiro, a função session upload progress está ativada, o que ocorre por padrão.
Para se proteger, é necessário definir session.upload_progress.enabled=0 na configuração do servidor, e não no código da aplicação, e reiniciar todos os processos de trabalho do PHP. A equipe do PHP já havia indicado essa mesma medida em 21 de outubro, no boletim GHSA-6wmf-4rv5-p3rp, como proteção contra a CVE-2026-109619, uma das vulnerabilidades PHP2Shell. Se a configuração foi aplicada naquele momento e não foi revertida, nenhuma ação adicional é necessária. Os especialistas também aconselham não reativar a função após a instalação das correções, caso ela não seja necessária: os invasores procuram cada vez mais falhas nesse mecanismo pouco utilizado e pouco testado.
Segundo o The Hacker News, as versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, lançadas em 21 de outubro, não corrigem a nova vulnerabilidade. A correção será incluída no ciclo normal de lançamentos, e o boletim completo sobre a CVE-2026-115560 será publicado junto com a próxima versão. Ainda não foi informado quais versões são afetadas, em quais builds a correção chegará e qual é a gravidade da ameaça. Também não se sabe se o problema está relacionado à CVE-2026-109619. Não há relatos de exploração em ataques reais.
Enquanto isso, continuam as tentativas de explorar as vulnerabilidades PHP2Shell, CVE-2026-109618 e CVE-2026-109619. Os honeypots da Amazon registraram uma tentativa já em 17 de outubro, quatro dias antes da divulgação pública. De acordo com a Cloudflare, o número de tentativas passou de dezenas de milhares nos primeiros 45 minutos após a divulgação de 21 de outubro para milhões na manhã de 22 de outubro. A Sophos e a Arctic Wolf relatam que os invasores tentaram instalar uma variante da botnet Mirai, até agora sem sucesso. A Previdian, a Wordfence e outras empresas registram apenas varreduras e verificações de servidores, sem casos confirmados de execução de código. Segundo os pesquisadores, criar um exploit confiável mostrou-se mais difícil do que o esperado. Essa atividade está voltada às duas vulnerabilidades corrigidas em 21 de outubro, e não à CVE-2026-115560.