This post is also available in: Português
A CVE-2026-115560 é uma nova vulnerabilidade identificada no PHP que pode permitir a execução remota de código (RCE) em aplicações que utilizam configurações específicas de gerenciamento de sessões. Divulgada em 23 de outubro de 2026, a falha surge apenas 48 horas após o lançamento das atualizações emergenciais para duas vulnerabilidades críticas conhecidas como PHP2Shell.
A sequência de descobertas amplia a atenção sobre a segurança dos ambientes que utilizam PHP, mas existe uma diferença importante: a CVE-2026-115560 não faz parte do conjunto de falhas PHP2Shell e não recebeu a mesma classificação de criticidade. Sua exploração depende de uma combinação incomum de configurações, considerada pouco provável pelos responsáveis pelo projeto.
Enquanto a correção definitiva é preparada para o ciclo regular de atualizações, a equipe do PHP recomenda uma medida temporária de mitigação. O novo comunicado também reforça a importância de acompanhar continuamente as orientações dos mantenedores e revisar as configurações dos ambientes, mesmo após a aplicação de atualizações de segurança.
O que é a CVE-2026-115560 e como ela foi identificada?
O PHP é uma linguagem de programação amplamente utilizada no desenvolvimento de aplicações web, especialmente em sistemas que dependem da geração dinâmica de conteúdo e da comunicação com bancos de dados.
Sua utilização está presente em diferentes plataformas e sistemas de gerenciamento de conteúdo, como WordPress, Drupal e Joomla, além de aplicações corporativas desenvolvidas sob medida.
Por isso, vulnerabilidades identificadas no funcionamento interno do PHP podem representar riscos para uma ampla variedade de ambientes tecnológicos.
Em 23 de outubro de 2026, a equipe responsável pela manutenção da linguagem publicou um comunicado informativo sobre a CVE-2026-115560, descrevendo uma condição específica que pode permitir a execução remota de código.
A falha está relacionada à interação entre os mecanismos de serialização de sessões e o recurso responsável pelo acompanhamento do progresso de uploads.
Embora o impacto potencial envolva execução de código no servidor, a exploração exige uma combinação incomum de configurações e comportamentos da aplicação.
Até a publicação do comunicado, o projeto PHP não havia divulgado uma pontuação CVSS, a relação completa de versões afetadas ou evidências de exploração ativa dessa vulnerabilidade.
Como funciona a vulnerabilidade CVE-2026-115560?
O funcionamento da CVE-2026-115560 está associado ao gerenciamento de sessões no PHP.
As sessões permitem que aplicações armazenem e recuperem informações relacionadas à interação de um usuário com um sistema, preservando determinados dados entre diferentes requisições.
Para armazenar essas informações, o PHP utiliza mecanismos de serialização, responsáveis por transformar os dados da sessão em um formato adequado para armazenamento e posterior recuperação.
A vulnerabilidade pode ocorrer quando uma aplicação combina diferentes mecanismos de serialização em uma sequência específica de operações.
Inicialmente, o parâmetro session.serialize_handler precisa estar configurado como php_binary ou php_serialize.
Em seguida, a aplicação deve alterar dinamicamente esse parâmetro para php, utilizando a função ini_set(), antes da execução de session_start().
Além disso, o recurso session upload progress, responsável pelo acompanhamento do progresso de uploads, precisa permanecer habilitado.
A presença simultânea dessas condições cria o cenário identificado pelos desenvolvedores do PHP como potencialmente vulnerável à execução remota de código.
É importante observar que a utilização de sessões ou o recebimento de arquivos, isoladamente, não significa que uma aplicação esteja vulnerável.
O risco está relacionado à combinação específica entre as configurações de serialização, a alteração desses parâmetros durante a execução e a utilização do recurso de acompanhamento de uploads.
Qual é a gravidade da CVE-2026-115560?
Embora a execução remota de código seja um impacto potencialmente grave, a classificação de uma vulnerabilidade também depende de fatores como complexidade de exploração, condições necessárias para o ataque e exposição dos sistemas afetados.
No caso da CVE-2026-115560, o projeto PHP considera improvável a ocorrência da configuração necessária para exploração em ambientes reais. Por esse motivo, a equipe responsável decidiu tratar a correção dentro do ciclo regular de manutenção.
Até o momento, não foi divulgada uma pontuação oficial no Common Vulnerability Scoring System (CVSS), metodologia utilizada para avaliar a gravidade de vulnerabilidades de segurança. Também não foram publicadas informações completas sobre todas as versões afetadas.
Portanto, ainda não é possível atribuir à CVE-2026-115560 a mesma classificação crítica das vulnerabilidades PHP2Shell divulgadas anteriormente.
Isso não significa que o problema deva ser ignorado. Organizações que utilizam PHP precisam verificar se suas aplicações apresentam as condições descritas e adotar as medidas preventivas recomendadas.
Qual é a relação entre a CVE-2026-115560 e o PHP2Shell?
A divulgação da CVE-2026-115560 acontece em um momento de atenção ampliada à segurança do PHP.
Em 21 de outubro de 2026, o projeto disponibilizou atualizações emergenciais para corrigir duas vulnerabilidades críticas, identificadas como CVE-2026-109618 e CVE-2026-109619, conhecidas em conjunto como PHP2Shell.
Essas falhas receberam pontuação CVSS 4.0 de 9,2 e podem permitir execução remota de código sem autenticação em instalações vulneráveis.
As correções foram disponibilizadas nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A CVE-2026-115560 representa um problema distinto e não foi corrigida por essas atualizações.
A OSTEC já havia abordado essas vulnerabilidades em uma análise sobre o PHP2Shell, reunindo os impactos, as versões corrigidas e as recomendações de atualização. O novo comunicado não invalida as correções anteriores, mas acrescenta uma condição de risco que precisa ser avaliada separadamente pelas organizações.
Leia também: PHP2Shell: entenda as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 e as correções disponibilizadas.
Apesar de envolver mecanismos relacionados ao gerenciamento de sessões, ainda não foi confirmado se a nova vulnerabilidade compartilha a mesma causa técnica da CVE-2026-109619.
Outra diferença importante está na abrangência dos cenários de exploração. Enquanto as falhas anteriores podem afetar diferentes instalações do PHP que atendem requisições web, a nova vulnerabilidade depende de uma configuração específica da aplicação.
Dessa forma, as atualizações emergenciais continuam indispensáveis para a proteção contra o PHP2Shell, mas não substituem a avaliação da nova condição divulgada.
Como mitigar a CVE-2026-115560?
Até que uma correção definitiva esteja disponível, a equipe do PHP recomenda desabilitar temporariamente o recurso de acompanhamento do progresso de uploads.
A configuração indicada é:
session.upload_progress.enabled=0
Esse parâmetro controla a funcionalidade que permite acompanhar o progresso de arquivos enviados ao servidor por meio de requisições HTTP. Ao desabilitar o recurso, elimina-se uma das condições necessárias para a exploração da CVE-2026-115560. A mesma configuração já havia sido recomendada como medida de mitigação para determinados caminhos de exploração da CVE-2026-109619.
Portanto, ambientes que adotaram anteriormente essa medida e a mantiveram ativa não precisam realizar alterações adicionais especificamente para a nova vulnerabilidade.
A recomendação deve ser aplicada considerando as necessidades da aplicação, pois sistemas que dependem do acompanhamento de uploads podem apresentar alterações de comportamento após a desativação do recurso.
Também é importante verificar se a configuração foi efetivamente aplicada aos processos PHP responsáveis pelo atendimento das requisições web. Aplicações que não modificam dinamicamente o mecanismo de serialização de sessões não apresentam o cenário específico descrito no comunicado.
Quando a correção definitiva será disponibilizada?
Segundo o comunicado publicado em 23 de outubro, a correção da CVE-2026-115560 será incorporada ao ciclo regular de atualizações do PHP. A equipe responsável também informou que um comunicado técnico completo será publicado junto à atualização.
Até o momento, não foram confirmadas as versões que receberão a correção, nem uma data específica para sua disponibilização. Por isso, é importante acompanhar os comunicados oficiais e reavaliar as medidas adotadas quando novas informações forem publicadas.
Enquanto isso, permanece a recomendação de manter as instalações atualizadas com as correções já disponibilizadas para as vulnerabilidades anteriores.
A importância do acompanhamento contínuo de vulnerabilidades
A sequência de comunicados envolvendo o PHP demonstra como a gestão de vulnerabilidades precisa acompanhar a evolução das ameaças e das informações técnicas disponibilizadas pelos fabricantes e mantenedores.
Uma atualização pode corrigir problemas conhecidos, enquanto novas descobertas exigem avaliações adicionais sobre configurações, exposição e impacto potencial.
Nesse contexto, a segurança não depende apenas da aplicação de patches, mas também da capacidade de identificar quais sistemas utilizam determinada tecnologia, compreender as condições de exploração e definir medidas proporcionais ao risco.
A Gestão Continuada de Vulnerabilidades (GCV) da OSTEC contribui para esse processo por meio da identificação, avaliação e priorização de vulnerabilidades nos ambientes tecnológicos, apoiando decisões de correção e redução da exposição.
Acompanhar os comunicados oficiais, validar configurações e manter processos estruturados de atualização são práticas fundamentais para fortalecer a segurança das aplicações e proteger os resultados das organizações.
This post is also available in: Português
