O projeto PHP divulgou em 23 de outubro de 2026 uma nova vulnerabilidade de execução remota de código (RCE), identificada como CVE-2026-115560, apenas 48 horas após liberar patches emergenciais para o incidente batizado de PHP2Shell. A falha permite controle total do servidor, mas depende de uma combinação de configurações considerada rara. A equipe optou por não lançar correção imediata, gerando dúvidas sobre o real risco para ambientes de produção.
A combinação rara que dispara a falha
Diferente das vulnerabilidades anteriores, a CVE-2026-115560 não afeta instalações padrão. A exploração exige que três condições coexistam simultaneamente na aplicação:
- O manipulador de serialização de sessão (
session.serialize_handler) esteja definido comophp_binaryouphp_serialize; - A aplicação altere dinamicamente esse valor para
phpviaini_set()antes de chamarsession_start(); - O recurso session upload progress (rastreamento de progresso de upload) permaneça habilitado — o que ocorre por padrão.
Segundo o comunicado oficial, essa tríade é improvável em cenários reais. Aplicações que não modificam o manipulador de sessão em tempo de execução não estão expostas a esta ameaça específica.
Mitigação imediata: o que fazer agora
Enquanto a correção definitiva não chega no ciclo regular de atualizações, a recomendação técnica é desativar o rastreamento de upload. Basta adicionar a seguinte diretiva no php.ini ou via configuração do servidor web:
session.upload_progress.enabled=0
Esta mesma medida já havia sido sugerida em 21 de outubro para mitigar a CVE-2026-109619. Administradores que aplicaram o ajuste na semana passada e o mantiveram ativo não precisam de ação adicional para se proteger da nova falha.
Independente do PHP2Shell: o que muda
A nova CVE é tecnicamente distinta das falhas CVE-2026-109618 e CVE-2026-109619, corrigidas nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Os patches liberados na sexta-feira não cobrem este novo vetor.
Até o momento, o projeto PHP não divulgou quais ramas são afetadas, qual versão trará o fix definitivo nem a pontuação CVSS da vulnerabilidade. Também não há confirmação se a causa raiz é compartilhada com a CVE-2026-109619.
Milhões de ataques nas falhas antigas: o cenário real
Enquanto a CVE-2026-115560 segue sem relatos de exploração ativa, o cenário para as vulnerabilidades do PHP2Shell é de intensa hostilidade. Dados de grandes provedores mostram a velocidade da ameaça:
- Amazon: Honeypots detectaram tentativa de exploração em 17 de outubro, quatro dias antes do anúncio público.
- Cloudflare: Registrou dezenas de milhares de tentativas nos primeiros 45 minutos após a divulgação (21/10), escalando para milhões nas primeiras horas de 22 de outubro.
- Sophos e Arctic Wolf: Identificaram tentativas de instalação de variante da botnet Mirai.
Pesquisadores da Previdian e Wordfence confirmam varreduras em massa, mas sem evidências de execução de código bem-sucedida. A complexidade para criar exploits confiáveis tem funcionado como barreira técnica, mas o volume de sondagem indica que a superfície de ataque permanece quente.
O que observar nas próximas semanas
A prioridade imediata continua sendo a aplicação dos patches de 21 de outubro nas versões suportadas. Para a nova CVE-2026-115560, a mitigação via session.upload_progress.enabled=0 é eficaz e de baixíssimo impacto operacional — a maioria das aplicações modernas não depende desse recurso nativo.
Fique atento ao anúncio da próxima versão regular do PHP. O comunicado técnico completo deve esclarecer a gravidade oficial (CVSS), a lista de versões impactadas e se haverá backport para ramos em manutenção de segurança (como 8.2). Até lá, mantenha a mitigação ativa e monitore logs de sessão anômalos, especialmente em sistemas legados que manipulam handlers de serialização dinamicamente.
