Nova falha de sessões no PHP exige conferir a ordem da configuração

O PHP alertou para a CVE-2026-115560, um caminho de execução remota separado das duas vulnerabilidades corrigidas nas liberações emergenciais do PHP2Shell.[4] O projeto considera incomum a configuração necessária e planejou incluir o ajuste no ciclo normal seguinte, sem nova liberação emergencial naquele momento.[4] Isso exige uma triagem por comportamento, não apenas por número de versão.

O que muda para quem desenvolve

A exposição descrita combina session.serialize_handler inicialmente em php_binary ou php_serialize, alteração em execução para php por ini_set() antes de session_start() e acompanhamento de progresso de uploads habilitado.[4] Aplicações que não fazem essa troca dinâmica não estão expostas por esse caminho específico.[4]

O detalhe de engenharia é temporal: olhar apenas o arquivo de configuração não revela necessariamente o estado existente quando a sessão começa. Minha recomendação é revisar tanto a configuração inicial quanto a sequência de inicialização da aplicação.

As versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 corrigiram as CVE-2026-109618 e CVE-2026-109619, mas não resolvem automaticamente a nova falha.[4] Portanto, o registro operacional precisa separar esses identificadores e suas respectivas ações.

Como aplicar

Procure referências a session.serialize_handler, ini_set() e session_start() no código próprio e nas etapas de inicialização. Em vez de concluir pela ocorrência textual, reconstrua a ordem das chamadas nas rotas que recebem uploads.

Se o padrão estiver presente, a mitigação recomendada pelo PHP é definir session.upload_progress.enabled=0 até a correção.[4] Avalie em homologação se alguma funcionalidade depende desse acompanhamento antes de aplicar a mudança.

Um experimento verificável é executar o fluxo de upload com uma configuração de teste que reproduza a inicialização normal, sem carga maliciosa. Registre o serializador efetivo antes do início da sessão e compare o funcionamento com o progresso habilitado e desabilitado. Não registre conteúdo de sessão nem credenciais.

Ao encerrar a triagem, produza uma conclusão específica: padrão ausente, padrão presente com mitigação validada ou investigação pendente. Evite o rótulo genérico de ambiente corrigido quando o patch disponível cobre outro problema.

Cuidados e limites

A reportagem não informava a lista completa de versões afetadas, as versões exatas do futuro ajuste nem nota de severidade para a nova CVE.[4] Também não havia exploração reportada dela.[4]

Tentativas observadas contra o PHP2Shell anterior não comprovam exploração desta vulnerabilidade nem execução bem-sucedida naqueles episódios.[4] Misturar essas evidências aumenta o ruído justamente quando a resposta depende de uma combinação estreita de configuração e ordem de execução.

Fonte

[4] Fonte: The Hacker News