PHP anuncia nova falha de segurança após semana de crise global

A fundação responsável pela linguagem de programação web PHP revelou, nesta sexta-feira (23), mais uma falha de segurança. A nova vulnerabilidade aparece depois de uma semana difícil para desenvolvedores da área.

A brecha em questão foi catalogada como CVE-2026-115560 e, caso seja explorada, é capaz de permitir a execução remota de código. Porém, o tratamento dado a ela será diferente dos processos urgentes que envolveram duas outras falhas, a CVE-2026-109618 e CVE-2026-109619, que provocou ataques e mobilizou o mercado em escala global.

Brecha não é tão grave por ser incomum

De acordo com a própria PHP Foundation e o Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU), entidade que emitiu os alertas sobre as falhas anteriores, a vulnerabilidade mais recente é considerada um “risco improvável”.

O motivo é a exigência de uma configuração bastante específica e “incomum” em servidores web para que ela seja explorada, ao contrário do uso padrão da plataforma que já era o suficiente para o aproveitamento de brechas anteriores.

A brecha está relacionada com o gerenciamento de sessões e ao acompanhamento de progresso de uploads; para explorá-la, um invasor precisa aproveitar a criação de uma “condição inesperada” no processamento dos dados de uma sessão, abrindo caminho para a execução de código no servidor. Até o momento, não há relatos de exploração em ambiente real dessa falha.

Como escapar da nova brecha no PHP?

A forma de controle sugerida até o momento é desabilitar temporariamente o acompanhamento de progresso de uploads, ou “session.upload_progress.enabled”. A correção definitiva está prevista para ser enviada apenas em uma atualização regular e futura do PHP, ainda sem data para ser disponibilizada.

As atualizações emergenciais da PHP2Shell não corrigem automaticamente a nova CVE-2026-115560, mas há uma boa notícia nesse cenário: desabilitar o componente de progresso de uploads era uma recomendação de uma das falhas anteriores, o que significa que muitos servidores já estão devidamente protegidos.

Ainda assim, o recomendável é conferir se a configuração está de fato desabilitada e aguardar pela atualização oficial.