A PHP Foundation identificou uma terceira vulnerabilidade no PHP. Saiba como mitigar o risco da falha CVE-2026-115560 e o contexto sobre o PHP2Shell.
A PHP Foundation confirmou a descoberta de uma terceira vulnerabilidade no PHP, registada como CVE-2026-115560. Ao contrário das duas falhas anteriores, que compõem o conjunto conhecido como PHP2Shell (CVE-2026-109618 e CVE-2026-109619), esta nova vulnerabilidade não terá direito a uma correção de emergência imediata.
Por que não há correção de emergência?
Segundo a PHP Foundation, em declarações ao portal The Register, a falha requer uma combinação muito específica e improvável de configurações e código de aplicação para ser explorada. A organização sublinha que não espera que este cenário ocorra em utilizações práticas e comuns do PHP. Por esta razão, a equipa de segurança do PHP optou por publicar apenas um aviso informativo, em vez de lançar um patch de emergência fora do ciclo regular de atualizações.
Como mitigar a vulnerabilidade
Para garantir a proteção total contra este vetor de ataque, a PHP Foundation recomenda que os administradores de sistemas definam a seguinte configuração até à próxima atualização regular:
- Definir:
session.upload_progress.enabled=0
Esta medida é suficiente para neutralizar o risco associado a esta falha específica, que depende da ativação da funcionalidade de progresso de upload de sessões.
Contexto e impacto
A vulnerabilidade exige que a aplicação configure o session.serialize_handler para php_binary ou php_serialize e, posteriormente, o altere para php em tempo de execução através de ini_set() antes de chamar session_start(). Devido à complexidade desta cadeia de eventos, a PHP Foundation considera que o risco é significativamente inferior ao das falhas PHP2Shell divulgadas anteriormente.
Até à data, não existem provas de explorações bem-sucedidas em sistemas corrigidos ou de ataques generalizados atribuídos a estas vulnerabilidades, embora investigadores de segurança, citados pelo The Register, tenham documentado tentativas de exploração e a circulação de provas de conceito (PoCs) online.
Fontes
Antes de comprares, compara no AHT Scan
Vê preços em várias lojas, promoções e histórico observado num único lugar.
Google Cloud antecipa cibersegurança em 2027 com foco em agentes autónomos e integridade de decisões
Git: 6 vulnerabilidades de segurança corrigidas. Atualize agora
Gemini 4 Carbon: A nova aposta da Google para agentes de desenvolvimento