A fundação responsável pela linguagem de programação web PHP revelou, nesta sexta-feira (23), mais uma falha de segurança. A nova vulnerabilidade surge após uma semana desafiadora para os desenvolvedores da área, marcada por incidentes anteriores.
A brecha foi catalogada sob o identificador CVE-2026-115560 e, caso seja explorada, possui a capacidade de permitir a execução remota de código em servidores afetados.
No entanto, o tratamento dado a esta falha difere dos processos emergenciais exigidos por outras duas vulnerabilidades recentes — a CVE-2026-109618 e a CVE-2026-109619 —, que geraram ataques e mobilizaram o mercado tecnológico em escala global.
Risco considerado improvável
De acordo com a PHP Foundation e o Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU), entidade responsável por emitir alertas sobre as falhas passadas, a vulnerabilidade mais recente é classificada como um “risco improvável”.
O motivo para essa avaliação é a necessidade de uma configuração bastante específica e atípica em servidores web para que a exploração seja bem-sucedida, diferentemente do uso padrão da plataforma, que bastava para o aproveitamento das brechas anteriores.
Detalhes da vulnerabilidade
- A brecha está relacionada diretamente ao gerenciamento de sessões e ao acompanhamento do progresso de uploads.
- Para conseguir explorá-la, um invasor precisa provocar a criação de uma “condição inesperada” no processamento dos dados de uma sessão, abrindo caminho para a execução de código no servidor.
- Até o momento, não há registros de exploração dessa falha em ambiente real.
Como se proteger da nova brecha
A medida de controle sugerida até o momento consiste em desabilitar temporariamente o recurso de acompanhamento de progresso de uploads, ajustando o parâmetro session.upload_progress.enabled.
A disponibilização de uma correção definitiva está programada apenas para uma futura atualização regular do PHP, cuja data de lançamento ainda não foi divulgada.
As atualizações emergenciais anteriores voltadas para a correção de falhas do tipo PHP2Shell não solucionam automaticamente a nova CVE-2026-115560. Contudo, desabilitar o componente de progresso de uploads já era uma recomendação decorrente de uma das falhas passadas, o que significa que muitos servidores já se encontram protegidos.
A recomendação atual é verificar se a configuração está devidamente desabilitada e aguardar o lançamento da atualização oficial por parte da fundação.
Fonte original: Estadão
