Uma nova vulnerabilidade foi identificada no PHP, designada como CVE-2026-115560, que permite a execução remota de código (RCE) em servidores web. Essa falha ocorre em aplicações que possuem uma configuração específica, mas o PHP considera a situação um risco improvável e não está emitindo um patch emergencial neste momento.
O problema se manifesta quando a opção session.serialize_handler é configurada para php_binary ou php_serialize, e posteriormente alterada para php via ini_set() antes da chamada de session_start(). Além disso, a funcionalidade de session upload progress deve estar ativada. Aplicações que não alteram o manipulador de serialização em tempo de execução não estão expostas.
Atualmente, não há relatos de exploração ativa para CVE-2026-115560. No entanto, tentativas de exploração das falhas críticas PHP2Shell, CVE-2026-109618 e CVE-2026-109619, que foram corrigidas recentemente, aumentaram significativamente. A recomendação do PHP é desativar a opção session.upload_progress até que uma correção seja disponibilizada na próxima versão regular.
As versões afetadas e a severidade da falha ainda não foram divulgadas. Para mais informações, consulte o aviso no The Hacker News.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews