CVE-2026-115560: Novo Risco de Execução Remota de Código em PHP Não Corrigido Requer Mitigação Imediata

O PHP divulgou o CVE-2026-115560, um novo risco de execução remota de código que afeta aplicativos web que usam uma combinação incomum de configuração de sessão PHP e comportamento de tempo de execução. O problema foi divulgado em 23 de outubro de 2026, apenas dois dias após o PHP ter lançado correções de emergência para as vulnerabilidades críticas PHP2Shell CVE-2026-109618 e CVE-2026-109619.

Ao contrário dessas vulnerabilidades anteriores, o CVE-2026-115560 não desencadeou outro lançamento de emergência do PHP. A equipe de segurança do PHP considera improvável a configuração vulnerável em implantações típicas e planeja resolver a falha através do seu próximo ciclo regular de correção de bugs. Até lá, os administradores são aconselhados a desativar o recurso de progresso de upload de sessão do PHP onde a configuração vulnerável possa existir.

A nova vulnerabilidade também é importante porque instalar PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 — as versões que corrigiram as duas falhas anteriores do PHP2Shell — não not remedia o CVE-2026-115560. Sistemas totalmente atualizados podem, portanto, permanecer expostos se seus aplicativos atenderem aos pré-requisitos específicos de configuração.

As equipes de segurança que buscam oportunidades de detecção do CVE-2026-115560 devem priorizar a visibilidade no manuseio de sessões do PHP, uploads múltiplos incomuns, mudanças inesperadas no comportamento de serialização de sessões e processos filho suspeitos iniciados por trabalhadores do PHP ou servidores web.

A Plataforma de Inteligência de Detecção Nativa em IA da SOC Prime permite que as equipes de segurança fortaleçam a cobertura para a exploração de vulnerabilidades emergentes e comportamentos relacionados de pós-comprometimento em ambientes de SIEM, EDR e Data Lake.

Clique em Explorar Detecções para acessar o conteúdo de detecção relevante e a lógica de caça. Para detectar o CVE-2026-115560, os defensores devem combinar a avaliação de configuração do PHP com a telemetria de web, endpoint, aplicativo e proxy reverso enquanto uma correção de fornecedor ainda não está disponível.

Praticantes de segurança também podem aproveitar o Prime Architect para transformar a inteligência de vulnerabilidade recém-divulgada em regras Sigma e consultas de caça, validar a lógica de detecção e traduzir detecções relevantes em plataformas de segurança suportadas.

Contato com Vendas

Análise do CVE-2026-115560

O PHP publicou um aviso informativo em 23 de outubro descrevendo uma interação potencialmente explorável entre a serialização de sessão e o recurso de progresso de upload de sessão.

De acordo com a equipe de segurança do PHP, uma aplicação deve atender a várias condições específicas antes que o problema possa ocorrer:

• session.serialize_handler deve ser inicialmente configurado como php_binary ou php_serialize.
• O código do aplicativo deve posteriormente mudar o manipulador para php em tempo de execução usando ini_set().
• Essa mudança deve ocorrer antes de session_start() ser chamado.
• session.upload_progress.enabled deve permanecer habilitado.

Aplicações que nunca mudam o manipulador de serialização em tempo de execução não são expostas por este caminho específico e podem continuar usando o progresso de upload de sessão. O PHP descreve a combinação vulnerável como incomum.

Essa distinção reduz substancialmente a superfície de ataque em comparação com CVE-2026-109618 e CVE-2026-109619. As vulnerabilidades anteriores do PHP2Shell afetaram amplamente as instalações de PHP para servidor web e exigiram atualizações de emergência. O CVE-2026-115560, ao contrário, depende de configuração específica do aplicativo e comportamento do código.

Os detalhes do CVE-2026-115560 permanecem intencionalmente limitados. O PHP ainda não publicou a causa raiz técnica completa, os intervalos exatos de versões vulneráveis, uma pontuação CVSS ou a transição específica de estado de memória interna ou de sessão que produz, em última análise, a condição de RCE. O fornecedor diz que esses detalhes serão incluídos na próxima versão regular.

Com base nos pré-requisitos divulgados, a vulnerabilidade parece conectada ao manuseio inconsistente de dados de sessão quando um aplicativo muda formatos de serialização durante o processamento de solicitações enquanto o mecanismo de progresso de upload do PHP está ativo. No entanto, o primitivo exato de exploração não deve ser inferido além do que o PHP divulgou formalmente.

O CVE-2026-115560 afeta aplicações que se enquadram no padrão de configuração vulnerável, incluindo aplicações executando versões do PHP totalmente corrigidas contendo as correções do PHP2Shell de 21 de outubro. O PHP ainda não declarou quais ramificações ou lançamentos históricos do PHP contêm a falha subjacente.

Isso significa que os administradores não devem determinar a exposição apenas pela versão do PHP instalada. Em vez disso, eles precisam avaliar a configuração da aplicação e do servidor.

Um passo inicial útil é verificar se o progresso de upload de sessão está habilitado:

session.upload_progress.enabled=1

Os administradores também devem identificar qualquer código de aplicação chamando ini_set() para modificar session.serialize_handler, particularmente transições de php_binary ou php_serialize para php.

A nova falha é separada do CVE-2026-109619, mesmo que a mitigação se sobreponha. Desativar o progresso de upload de sessão já era recomendado como uma medida de redução de risco para uma das vulnerabilidades originais do PHP2Shell. Organizações que mantiveram essa configuração desativada após a atualização de emergência de 21 de outubro já estão protegidas contra o caminho recém-divulgado, de acordo com o PHP.

Atualmente, não há nenhum PoC público do CVE-2026-115560 documentado pelo PHP ou pelos dois relatórios fornecidos. A equipe de segurança também não divulgou informações técnicas suficientes para reproduzir a vulnerabilidade de forma confiável apenas com o aviso público.

Isso é notavelmente diferente das falhas anteriores do PHP2Shell, para as quais várias tentativas de prova de conceito e atividades de exploração surgiram em torno da divulgação. Esses ataques não devem ser atribuídos à nova vulnerabilidade.

Nenhuma exploração do CVE-2026-115560 foi relatada em 26 de outubro de 2026. O Hacker News distingue especificamente as tentativas de varredura e exploração em andamento do PHP2Shell desta nova vulnerabilidade, observando que a atividade observada tem como alvo CVE-2026-109618 e CVE-2026-109619.

Como resultado, IoCs do CVE-2026-115560, como endereços IP maliciosos, domínios, hashes, payloads ou padrões de solicitação de exploração confirmados, não estão atualmente disponíveis.

Até que mais detalhes técnicos surjam, defensores devem se concentrar em indicadores baseados em comportamento e configuração, incluindo:

• Aplicativos PHP alterando session.serialize_handler durante a execução
• O progresso de upload de sessão permanecendo habilitado em aplicações com lógica de sessão personalizada
• Tráfego POST multipart inesperado para aplicações que lidam com sessões PHP
• Processos PHP-FPM, php-cgi, Apache ou outros processos que servem PHP iniciando shells ou interpretadores de script
• Conexões de rede de saída inesperadas de trabalhadores PHP
• Novos arquivos criados dentro de raízes da web ou diretórios de aplicação graváveis
• Mudanças incomuns em arquivos de sessão ou armazenamento de sessão
• Shells da web, trabalhos agendados ou persistência não autorizada criada por contas de serviço PHP

Desenvolvedores de aplicativos também devem revisar a lógica personalizada de manuseio de sessões. Extensões de framework, aplicativos legados, plataformas internas ou sistemas de autenticação personalizados são mais propensos do que implantações simples de PHP a modificar configurações de serialização dinamicamente.

A divulgação ocorre durante um período já ativo de atividade de exploração do PHP. As vulnerabilidades originais do PHP2Shell foram corrigidas em 21 de outubro, e várias empresas de segurança observaram subsequentemente sondagens generalizadas e tentativas de exploração. No entanto, o PHP e os pesquisadores de segurança não ligaram essas campanhas ao CVE-2026-115560.

Mitigação do CVE-2026-115560

O PHP atualmente recomenda uma medida defensiva direta:

session.upload_progress.enabled=0

Os administradores devem aplicar a configuração através do php.ini, configuração de pool do PHP-FPM, configuração do Apache ou outro mecanismo de nível de servidor que tenha efeito antes do processamento da solicitação.

Organizações que desativaram o recurso ao mitigar o CVE-2026-109619 e o deixaram desativado não precisam de uma mudança adicional de configuração para esta vulnerabilidade.

Após alterar a configuração, reinicie os trabalhadores PHP e serviços web relevantes para garantir que os processos existentes carreguem a configuração atualizada. Dependendo do ambiente, isso pode incluir a reinicialização de pools do PHP-FPM, trabalhadores do Apache, contêineres ou outros processos de runtime de aplicação PHP.

Os administradores podem verificar a configuração efetiva por meio de inspeção da configuração do PHP, em vez de assumir que um valor central do php.ini se aplica em todos os lugares. Implantações de PHP frequentemente combinam configurações de:

• php.ini global
• arquivos conf.d
• configuração de pool do PHP-FPM
• diretivas do Apache
• configuração específica do contêiner
• .user.ini no nível da aplicação
• chamadas de runtime para ini_set()

A avaliação de exposição mais importante é específica do aplicativo. Procure no código-fonte da aplicação por modificações de runtime do serializador da sessão, particularmente padrões que envolvem:

ini_set(‘session.serialize_handler’, ‘php’)

Aplicações que nunca mudam o serializador de php_binary ou php_serialize para php antes de session_start() não correspondem ao cenário vulnerável divulgado pelo PHP.

As organizações devem, no entanto, manter as atualizações de segurança do PHP2Shell de 21 de outubro. Desativar o progresso de upload aborda o caminho recém-identificado, mas não substitui as correções de emergência para CVE-2026-109618 e CVE-2026-109619.

Instalações suportadas devem, portanto, permanecer no mínimo em:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Essas versões resolvem as questões anteriores do PHP2Shell, mas não a nova vulnerabilidade divulgada.

As equipes de segurança também devem inventariar instalações do PHP não suportadas. PHP 8.1 e versões anteriores não recebem mais atualizações de segurança de rotina, o que significa que organizações que operam ambientes legados podem ter dificuldade em determinar a exposição completa uma vez que o aviso final do CVE seja publicado.

Se desativar o progresso de upload de sessão não for operacionalmente viável, as organizações devem primeiro determinar se seus aplicativos realmente modificam o manipulador de serialização de forma dinâmica. O PHP afirma explicitamente que aplicações que nunca realizam essa troca em tempo de execução podem deixar o progresso de upload de sessão habilitado.

Como salvaguardas adicionais, os defensores podem:

• Limitar o acesso externo a aplicações PHP sensíveis.
• Aplicar regras de proxy reverso restritivas em torno de endpoints de upload de arquivos desnecessários.
• Monitorar requisições multipart associadas a sessões PHP.
• Alertar sobre processos filhos anômalos de trabalhadores PHP.
• Aplicar o princípio de menor privilégio a contas do PHP-FPM e servidor web.
• Impedir que serviços PHP gravem em diretórios executáveis, sempre que possível.
• Restringir a conectividade de saída de cargas de trabalho de aplicações da web.
• Monitorar raízes da web e diretórios temporários para criação não autorizada de arquivos.

A AWS também observou que suas regras de WAF para aplicações PHP podem bloquear solicitações POST que combinam identificadores de sessão PHP com o campo PHP_SESSION_UPLOAD_PROGRESS, fornecendo outra camada defensiva para ambientes que não podem imediatamente fazer alterações de configuração. Esse tipo de filtragem ainda deve ser considerado como defesa em profundidade e não como substituto para a mudança de configuração recomendada pelo PHP.

Assim que o PHP lançar a atualização regular de correção de bugs contendo a correção permanente, as organizações devem implantá-la rapidamente, mesmo que a mitigação temporária já esteja habilitada.

Após a correção, os administradores podem decidir se o progresso de upload de sessão precisa ser reativado com base nas necessidades da aplicação.

Se a exploração for suspeita, isole o servidor da aplicação afetada e preserve a telemetria da web, PHP, proxy reverso, endpoint e rede. Revise diretórios graváveis para shell da web ou novos arquivos criados, inspecione processos filhos do PHP e identifique credenciais ou segredos acessíveis ao serviço comprometido.

Como a exploração bem-sucedida poderia potencialmente resultar em execução de código com os privilégios do trabalhador PHP, os respondedores devem alterar as credenciais relevantes da aplicação, segredos de banco de dados, tokens de API, chaves de nuvem e outras informações sensíveis se o comprometimento não puder ser excluído.

Declaração de isenção de responsabilidade: Conteúdo de detecção pode não estar disponível para todos os CVE. Verifique a Plataforma SOC Prime para cobertura atual. Se as detecções relevantes ainda não estiverem disponíveis, verifique novamente, pois novas informações de ameaças e conteúdo de detecção são continuamente adicionados.