A PHP Foundation divulgou nesta sexta-feira (23) mais uma vulnerabilidade na linguagem, catalogada como CVE-2026-115560. Em tese, ela permite que um atacante execute código remotamente no servidor. Na prática, o alerta veio com um rótulo bem mais calmo que o dos últimos dias: tanto a fundação quanto o CERT-EU, braço europeu que já havia emitido os avisos anteriores, classificam a exploração como improvável.
O motivo é simples. Para o ataque funcionar, o servidor precisa estar montado com uma configuração específica e pouco usada. Nas duas falhas da semana passada, a instalação padrão do PHP já bastava para o invasor entrar.
O que veio antes
O anúncio chega depois de uma semana de correria para quem mantém sites e sistemas em PHP. As brechas CVE-2026-109618 e CVE-2026-109619 foram exploradas em ataques reais e forçaram empresas no mundo todo a aplicar patches de emergência, conhecidos pelo apelido PHP2Shell. Como o PHP roda por trás de uma fatia enorme da web, incluindo lojas virtuais, blogs em WordPress e painéis de hospedagem compartilhada, o impacto foi global.
A CVE-2026-115560 é outro caso. O problema está na parte que cuida das sessões de usuário e do recurso que acompanha o andamento de envios de arquivos. O invasor precisa provocar um estado que o código não espera durante o tratamento dos dados da sessão e, a partir daí, rodar comandos na máquina. Até agora, ninguém relatou exploração ativa.
Como se proteger
A recomendação oficial, por enquanto, é desligar a diretiva session.upload_progress.enabled no arquivo de configuração do PHP. Ela só serve para mostrar barras de progresso em uploads, e a maioria dos sites não depende disso.
Os patches emergenciais da semana passada não resolvem a nova falha. Existe uma vantagem, porém: desativar essa mesma diretiva já fazia parte das orientações para uma das brechas anteriores. Quem seguiu o roteiro completo naquela ocasião provavelmente já está coberto.
Minha leitura: se você administra servidor próprio ou VPS, gaste cinco minutos conferindo o php.ini em vez de confiar na memória. Em hospedagem compartilhada, vale abrir um chamado e perguntar ao provedor se a diretiva está desligada. Não há motivo para pânico, mas também não custa nada checar.
A correção definitiva não terá lançamento extraordinário. Ela entrará em uma atualização regular do PHP, que ainda não tem data marcada.
