PHP: outra vulnerabilidade sem patch (CVE-2026-115560) e como uma configuração a fecha
Em 23 de outubro, a equipe do PHP publicou um aviso informativo sobre um bug no progresso de upload de sessão que pode levar à execução de código no servidor. A correção virá na próxima versão regular, não há patch de emergência. A exploração exige uma configuração incomum, e até 23 de outubro nenhum caso havia sido relatado.
Verificado no Shield: sim
Quem é afetado
Apenas sites e apps em PHP em que tudo isto é verdade: session.serialize_handler está definido como php_binary ou php_serialize, o código o muda para php com ini_set() antes de session_start(), e session.upload_progress está ativado. Um app que não altera o handler de sessão em tempo de execução não se enquadra nesse cenário. A equipe do PHP ainda não divulgou as versões afetadas.
Como verificar
Procure no php.ini, no pool do PHP-FPM e no código do site por ini_set('session.serialize_handler', ...), e verifique session.upload_progress.enabled com php -i ou no painel da hospedagem.
Como corrigir
Defina session.upload_progress.enabled = 0 no php.ini, no pool do PHP-FPM ou na configuração do servidor (não use ini_set) e reinicie o PHP. Essa mesma configuração já é recomendada contra o PHP2Shell: se você a aplicou, não precisa fazer mais nada. Atualize o PHP quando sair a versão regular com a correção.
O que o Shield verifica grátis
A configuração de sessões não aparece de fora. Se o seu site roda em PHP (dá para ver pelos cabeçalhos, pelo cookie PHPSESSID ou pelo CMS), o Shield lembra você deste aviso e da medida session.upload_progress.enabled = 0, e mostra a versão do PHP no relatório quando ela está visível. Só no seu próprio servidor dá para confirmar que a medida está ativa. Grátis.
Bom saber
A equipe do PHP ainda não divulgou os detalhes (causa raiz, versões afetadas, nível de gravidade), que foram prometidos junto com a correção. Verificamos nossos próprios servidores: a configuração de sessão necessária não é usada e session.upload_progress está desativado.
