CIBERSEGURANÇA
PHP publica novo alerta de segurança para aplicações com configuração incomum
Aviso de 23 de outubro detalha a CVE-2026-115560 e uma mitigação temporária. O cenário depende de condições específicas nas sessões e nos uploads.
Por Leonardo Jung · 23/10/2026 às 17:37
O projeto PHP publicou nesta sexta-feira (23) um aviso adicional de segurança sobre a CVE-2026-115560. A nova orientação descreve uma possibilidade de execução remota de código em uma combinação incomum de configuração e comportamento da aplicação. Os mantenedores consideram o cenário improvável e planejam tratar a correção no ciclo regular de manutenção.
Para que essa condição ocorra, a aplicação precisa configurar session.serialize_handler como php_binary ou php_serialize e, durante a execução, alterá-lo para php usando ini_set(), antes de chamar session_start(). O acompanhamento do progresso de uploads também precisa continuar habilitado. Aplicações que nunca trocam esse mecanismo de serialização durante a execução ficam fora do cenário descrito no aviso.
A recomendação temporária é definir session.upload_progress.enabled=0 até a próxima versão regular com a correção. Quem já adotou essa medida após o alerta de 21 de outubro deve mantê-la. A equipe publicará um comunicado completo junto da próxima versão; o aviso atual não apresenta uma matriz de versões afetadas nem atribui uma nota de severidade à nova CVE.
O recurso envolvido permite que uma aplicação consulte quanto de um arquivo já foi enviado ao servidor. Segundo o manual do PHP, essas informações são gravadas na sessão antes da execução dos scripts. Desativá-lo pode exigir ajustes em telas que exibem o progresso do envio, razão para verificar o funcionamento dos formulários após a alteração de configuração.
A orientação complementa a resposta às vulnerabilidades CVE-2026-109618 e CVE-2026-109619, conhecidas como PHP2Shell. As versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, publicadas no dia 21, corrigem essas duas falhas anteriores. O comunicado técnico já recomendava desativar o progresso de uploads como defesa para caminhos relacionados às sessões, inclusive depois da atualização.
O NCSC dos Países Baixos também revisou sua avaliação nesta sexta-feira. A autoridade informou conhecer um relato de possível exploração no exterior, sem confirmação de sucesso, e afirmou que a complexidade do ataque reduz a probabilidade de exploração em massa em relação à estimativa inicial. Manteve, porém, a recomendação de instalar as correções disponíveis e acompanhar as orientações dos fornecedores.
A resposta às falhas anteriores ainda produz interrupções preventivas delimitadas. No Japão, a Canon Marketing Japan informou a suspensão do PHP em ambientes Canonet/HOME type-W a partir das 12h locais de 23 de outubro. Os avisos abrangem servidores W1 a W4, preservam serviços de clientes que não usam PHP e registram ausência de danos ou vazamentos confirmados. A empresa apresentou a medida como manutenção emergencial para proteger os clientes.
O parecer da IungX
Análise sugerida: o novo aviso reforça a necessidade de confirmar a configuração efetivamente usada por cada aplicação e acompanhar os comunicados depois da instalação de uma atualização. A prioridade operacional deve considerar a exposição concreta e o comportamento do sistema, com evidências de correção e testes dos fluxos de upload. O rótulo Black October reúne episódios diferentes e acrescenta pouco à decisão técnica sem essa verificação.
Fontes e referências
- PHP — aviso informativo de 23/10/2026 sobre CVE-2026-115560
- PHP — advisory oficial CVE-2026-109619, publicado em 21/10/2026
- PHP — manual do progresso de uploads
- NCSC-NL — avaliação atualizada em 23/10/2026
- Canon Marketing Japan — situação HOME, atualização de 23/10 às 16h38 JST
- Canon Marketing Japan — suspensão PHP W3/W4, 23/10/2026
- Canon Marketing Japan — suspensão PHP W1/W2, 23/10/2026