PHP identifica nova vulnerabilidade apenas 48 horas após correções emergenciais

O projeto PHP divulgou, em 23 de outubro de 2026, um alerta sobre uma nova vulnerabilidade que pode permitir a execução remota de código (RCE) em servidores web. Identificada como CVE-2026-115560, a falha foi anunciada apenas dois dias após o lançamento de atualizações emergenciais para corrigir as vulnerabilidades críticas conhecidas como PHP2Shell.

Diferentemente das falhas anteriores, o novo problema afeta apenas aplicações que utilizam uma combinação incomum de configurações. Por considerar o risco de exploração baixo, a equipe do PHP decidiu não disponibilizar uma correção emergencial, recomendando uma medida temporária até a próxima atualização regular.

A vulnerabilidade é independente das falhas CVE-2026-109618 e CVE-2026-109619, corrigidas em 21 de outubro nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Portanto, essas atualizações não corrigem o novo problema.

Nova vulnerabilidade depende de configurações específicas

Segundo o comunicado, a CVE-2026-115560 pode ser explorada apenas quando uma aplicação apresenta simultaneamente determinadas condições relacionadas ao gerenciamento de sessões.

Primeiro, a configuração session.serialize_handler precisa estar definida como php_binary ou php_serialize. Em seguida, a aplicação deve alterar esse parâmetro dinamicamente para php, utilizando a função ini_set(), antes de executar session_start().

Além disso, o recurso de acompanhamento do progresso de uploads, chamado session upload progress, precisa permanecer habilitado.

Esse mecanismo permite que aplicações acompanhem o andamento do envio de arquivos ao servidor e está ativado por padrão no PHP.

A equipe responsável considera essa combinação de configurações pouco provável em ambientes reais. Aplicações que não modificam dinamicamente o manipulador de serialização de sessões não estão expostas a essa vulnerabilidade específica.

PHP recomenda desativar recurso até próxima atualização

Como medida preventiva, os mantenedores recomendam desabilitar temporariamente o acompanhamento do progresso de uploads por meio da seguinte configuração:

session.upload_progress.enabled=0

A mesma recomendação já havia sido apresentada em 21 de outubro como mitigação para a CVE-2026-109619. Portanto, administradores que aplicaram essa configuração anteriormente e a mantiveram ativa não precisam realizar alterações adicionais para mitigar a nova vulnerabilidade.

A correção definitiva será disponibilizada durante o ciclo regular de atualizações do PHP, acompanhada de um comunicado técnico completo.

Até o momento, o projeto não informou quais versões são afetadas, quais atualizações incluirão a correção ou qual será a classificação de gravidade da CVE-2026-115560.

Também não foi esclarecido se a nova vulnerabilidade compartilha a mesma causa técnica da CVE-2026-109619.

Ataques contra falhas anteriores já somam milhões de tentativas

Enquanto a nova vulnerabilidade permanece sem relatos de exploração, as duas falhas originais do PHP2Shell continuam sendo alvo de atividades maliciosas.

A Amazon informou que seus honeypots identificaram uma tentativa de exploração em 17 de outubro, quatro dias antes da divulgação pública das vulnerabilidades.

Já a Cloudflare registrou um crescimento expressivo nas tentativas de ataque após a publicação das falhas em 21 de outubro. Segundo a empresa, foram observadas dezenas de milhares de tentativas nos primeiros 45 minutos, número que chegou à casa dos milhões nas primeiras horas de 22 de outubro.

Pesquisadores da Sophos e da Arctic Wolf também identificaram tentativas de utilizar as vulnerabilidades para instalar uma variante da botnet Mirai, malware conhecido por comprometer dispositivos e incorporá-los a redes utilizadas em ataques cibernéticos.

Entretanto, essas tentativas não tiveram sucesso confirmado. Empresas como Previdian e Wordfence relataram atividades de varredura e sondagem, mas sem evidências de execução de código bem-sucedida. Pesquisadores também observaram dificuldades para desenvolver exploits confiáveis.

É importante destacar que toda essa atividade está relacionada às vulnerabilidades PHP2Shell corrigidas em 21 de outubro, e não à nova CVE-2026-115560.

Até agora, não foram registrados ataques explorando a nova falha, cuja correção permanece prevista para uma atualização regular do PHP.