PHP alerta novo RCE crítico em sessões e indica correção rápida

Segurança

Falha crítica em sessões do PHP pode permitir execução remota de código; desativar upload progress é a solução recomendada.

Leia também: Falha no WPS da Broadcom expõe milhões de roteadores hoje

O projeto PHP emitiu nesta sexta-feira (23) um novo alerta de segurança sobre a vulnerabilidade de execução remota de código CVE-2026-115560, que atinge apenas aplicações com uma configuração específica e incomum de sessões, mas pode permitir que um invasor execute código malicioso no servidor. A recomendação imediata é desativar um recurso de acompanhamento de upload de arquivos até a próxima correção rotineira.

O que é o novo RCE não corrigido anunciado pelo PHP?

A CVE-2026-115560 é uma vulnerabilidade de execução remota de código em PHP que aparece quando uma aplicação altera dinamicamente a forma como as sessões são serializadas ao mesmo tempo em que mantém ativado o recurso de acompanhamento de progresso de upload em sessão.

O problema ocorre em um cenário restrito: a aplicação configura o parâmetro session.serialize_handler para php_binary ou php_serialize e, durante a execução, muda esse valor para php por meio de ini_set(), antes de chamar session_start(). Para que a falha seja explorável, o recurso session.upload_progress também precisa permanecer ativado.

Nesse contexto, um atacante pode explorar inconsistências no tratamento dos dados de sessão para injetar e executar código no servidor web. Apesar disso, o próprio projeto PHP classifica o cenário como raro na prática e, por isso, decidiu tratar a correção dentro do ciclo regular de atualizações, e não como emergência.

Quais riscos o novo RCE representa para sistemas que usam PHP?

O principal risco da CVE-2026-115560 é permitir que um invasor execute código remoto no servidor em aplicações PHP que adotam esse padrão incomum de manipulação de sessões e mantêm o progresso de upload habilitado. Na prática, isso pode abrir caminho para invasões, roubo ou alteração de dados e paralisação de serviços.

O impacto é maior em ambientes que usam configurações altamente personalizadas de sessão, com troca dinâmica do session.serialize_handler, como aplicações que implementam lógicas experimentais ou formatos próprios de serialização. Setores que dependem fortemente de aplicações web em PHP — como e-commerce, serviços financeiros e plataformas de conteúdo — podem ser afetados se tiverem esse perfil de configuração e não aplicarem a mitigação.

Por outro lado, quem já desativou o session.upload_progress para se proteger das falhas anteriores relacionadas ao PHP2Shell continua protegido também contra a nova brecha. Segundo o projeto, “PHP recomenda definir session.upload_progress.enabled=0 até o próximo lançamento rotineiro de correção”.

Entenda o contexto

O novo alerta surge dois dias após o lançamento emergencial, em 21 de outubro, de patches para duas falhas críticas batizadas de PHP2Shell, registradas como CVE-2026-109618 e CVE-2026-109619. Essas vulnerabilidades permitiam que atacantes sem conta no sistema executassem código no servidor e foram corrigidas nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

As atualizações emergenciais, porém, não corrigem a CVE-2026-115560, que é considerada um problema independente. O projeto PHP ainda não detalhou quais versões serão atualizadas nem atribuiu uma gravidade formal à nova falha, tampouco informou se ela compartilha a mesma raiz das falhas PHP2Shell.

Enquanto não há patch definitivo, a orientação é clara: desligar o recurso de progresso de upload de sessão. Quem já havia aplicado essa mitigação para a CVE-2026-109619 não precisa tomar nenhuma ação adicional.

O que os desenvolvedores devem fazer para proteger seus sistemas contra essa nova falha?

A medida imediata recomendada é desativar o acompanhamento de progresso de upload em sessões, configurando session.upload_progress.enabled=0 no ambiente PHP. De acordo com o projeto, “PHP recomenda definir session.upload_progress.enabled=0 até o próximo lançamento rotineiro de correção”.

Além desse ajuste, administradores e desenvolvedores devem revisar se suas aplicações alteram o session.serialize_handler em tempo de execução usando ini_set() antes de session_start(), especialmente se em algum momento usam php_binary ou php_serialize. Se essa alteração dinâmica não existir, o risco pela nova CVE cai drasticamente, mesmo com o recurso de upload progress ativo.

Boas práticas adicionais incluem aplicar todos os patches recentes de PHP (incluindo as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 que tratam as falhas PHP2Shell), monitorar logs em busca de tentativas de exploração e manter testes de segurança regulares em ambientes de produção.

Exploração ainda não foi observada, mas ataques disparam nas falhas antigas

Até o momento, não há registro de ataques em andamento contra a CVE-2026-115560. “Nenhuma exploração de CVE-2026-115560 foi reportada até o momento”, informou o projeto PHP em seu comunicado.

O cenário é bem diferente para as falhas PHP2Shell corrigidas no início da semana. Provedores de infraestrutura relatam um salto repentino nas tentativas de exploração logo após a divulgação dos patches emergenciais. “Tentativas de exploração dos PHP2Shell anteriores aumentaram de dezenas de milhares para milhões em poucas horas”, afirmaram equipes de segurança de Amazon e Cloudflare.

Esses ataques miram especificamente as CVE-2026-109618 e CVE-2026-109619 e buscam instalar variantes do botnet Mirai em servidores vulneráveis. Pesquisadores, porém, apontam que ainda não há confirmação de execução bem-sucedida de código nesses ataques em grande escala, o que indica dificuldade prática na exploração, apesar do interesse elevado dos criminosos.

A opção do projeto PHP por tratar a CVE-2026-115560 no ciclo regular de atualizações, e não com um novo pacote emergencial, deve alimentar o debate entre rapidez e estabilidade em correções de segurança, em especial em softwares amplamente distribuídos e com base de código complexa.