O PHP alertou para outra forma de um invasor conseguir executar código em um servidor web, dois dias depois de lançar correções de emergência para as falhas críticas PHP2Shell.
A nova falha, identificada como CVE-2026-115560 (sigla de Common Vulnerabilities and Exposures, sistema padronizado de identificação de vulnerabilidades), afeta apenas aplicações web configuradas de maneira incomum, e o PHP considera o risco improvável.
O projeto não está lançando uma correção de emergência para ela. Em vez disso, recomenda desativar um recurso chamado acompanhamento do progresso de upload de sessão (session upload progress) até que uma correção esteja disponível na próxima versão de manutenção de rotina.
O alerta veio em um curto comunicado informativo publicado em 23 de outubro. Ele segue a versão de emergência de 21 de outubro, que corrigiu duas falhas críticas do PHP2Shell, CVE-2026-109618 e CVE-2026-109619, que permitiam a um invasor sem conta executar código em um servidor. Essas falhas foram corrigidas nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A nova falha é separada e não é corrigida por essas versões.
Apenas uma configuração específica está em risco. O PHP afirma que o problema pode ocorrer quando uma aplicação web faz todas as ações a seguir: define a opção session.serialize_handler como php_binary ou php_serialize em sua configuração, depois altera essa opção para php durante a execução, chamando ini_set(), e faz essa alteração antes de chamar session_start().
O acompanhamento do progresso de upload de sessão também precisa estar ativado. Uma aplicação que nunca altera o serialize handler durante a execução pode manter o recurso ligado e não fica exposta por esse caminho. O PHP afirma que essa configuração é improvável na prática.
A ação é uma única linha. O PHP recomenda definir session.upload_progress.enabled=0 até a próxima versão de correções de rotina. É a mesma configuração que já havia sido listada como medida de mitigação no comunicado de segurança de 21 de outubro sobre a CVE-2026-109619.
Quem aplicou essa configuração na época e a manteve não precisa fazer mais nada em relação à nova falha. O acompanhamento do progresso de upload de sessão vem ativado por padrão e permite que uma aplicação acompanhe o andamento do envio de um arquivo.
Como a configuração é incomum, o PHP está tratando a correção como parte de seu ciclo regular de lançamentos, e não como emergência, e publicará um comunicado completo sobre a CVE-2026-115560 com a próxima versão.
O PHP não informou quais versões são afetadas, quais lançamentos conterão a correção nem uma pontuação de gravidade. Também não disse se a nova falha tem a mesma causa raiz da CVE-2026-109619.
Não há registro de exploração da CVE-2026-115560. Os ataques reportados desde 21 de outubro têm como alvo as duas falhas anteriores do PHP2Shell.
Paralelamente, as tentativas de explorar as duas falhas anteriores do PHP2Shell dispararam. A Amazon afirmou que suas armadilhas digitais (honeypots) registraram uma tentativa de exploração contra a CVE-2026-109618 e a CVE-2026-109619 em 17 de outubro, quatro dias antes de as falhas serem divulgadas. A Cloudflare disse que as tentativas saltaram de dezenas de milhares nos 45 minutos seguintes à divulgação de 21 de outubro para milhões até o início de 22 de outubro.
Segundo a Sophos e a Arctic Wolf, invasores tentaram usar as falhas para instalar uma variante da botnet Mirai, uma rede de computadores infectados controlada remotamente. Essas tentativas até agora fracassaram: a Previdian, a Wordfence e outras empresas relatam varreduras e sondagens, mas nenhuma execução de código confirmada, e pesquisadores afirmam que um código de exploração confiável está se mostrando mais difícil de construir do que o esperado. Essa atividade tem como alvo as duas falhas corrigidas em 21 de outubro, e não a CVE-2026-115560, que não foi relatada como alvo de ataques.
