PHP Foundation corrige falha de segurança com configuração incomum

A PHP Foundation, entidade responsável pela linguagem de programação web PHP, anunciou nesta sexta-feira (23) a descoberta de uma nova falha de segurança, catalogada como CVE-2026-115560. Caso explorada, a vulnerabilidade pode permitir a execução remota de código em servidores.

No entanto, o tratamento para esta brecha será distinto de outras falhas recentes que mobilizaram o mercado globalmente. A PHP Foundation e o Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU) classificaram a CVE-2026-115560 como um "risco improvável".

Por que o risco é considerado baixo?

A principal razão para a baixa probabilidade de exploração reside na necessidade de uma configuração de servidor web bastante específica e incomum. Diferentemente de vulnerabilidades anteriores, que podiam ser aproveitadas com o uso padrão da plataforma, esta exige condições particulares para ser explorada.

A falha está relacionada ao gerenciamento de sessões e ao acompanhamento de progresso de uploads. Para que um invasor consiga executar código no servidor, é preciso que ele consiga criar uma "condição inesperada" durante o processamento dos dados de uma sessão.

Até o momento, não há relatos de que a CVE-2026-115560 tenha sido explorada em ambientes reais. As duas falhas anteriores, CVE-2026-109618 e CVE-2026-109619, causaram ataques e impactaram o mercado em escala global.

Como se proteger da nova brecha?

A recomendação imediata da PHP Foundation para mitigar o risco é desabilitar temporariamente o acompanhamento de progresso de uploads, configurando o parâmetro "session.upload_progress.enabled" para desativado.

A correção definitiva para a vulnerabilidade está prevista para ser incluída em uma futura atualização regular do PHP, cuja data de lançamento ainda não foi divulgada. As atualizações emergenciais anteriores, como as relacionadas à PHP2Shell, não corrigem automaticamente a nova falha.

Uma notícia positiva é que a desativação do componente de progresso de uploads já havia sido recomendada para mitigar uma das falhas anteriores. Isso sugere que muitos servidores já podem estar protegidos contra a CVE-2026-115560.

Ainda assim, é aconselhável que os administradores de sistemas verifiquem se a configuração está de fato desabilitada e permaneçam atentos à liberação da atualização oficial.