Vulnerabilidade do PHP CVE-2026-115560

Recomenda-se definir session.upload_progress.enabled=0 até o próximo lançamento regular de correção de bugs, a fim de garantir proteção total contra um improvável vetor de RCE (execução remota de código). Essa configuração já havia sido recomendada como medida de mitigação no boletim de segurança GHSA-6wmf-4rv5-p3rp, referente à CVE-2026-109619 (publicada em 21 de outubro de 2026). Se você já implementou essa medida, mantenha-a; nenhuma ação adicional é necessária.

O problema só pode ocorrer sob uma combinação incomum de configuração e código da aplicação. É necessário que a aplicação defina session.serialize_handler como php_binary ou php_serialize em sua configuração e, posteriormente, altere esse valor para php durante a execução (em tempo de execução) usando ini_set(), antes de chamar session_start(). Além disso, o recurso de progresso de upload de sessão (session upload progress) deve estar habilitado. Aplicações que não alteram o serialize_handler durante a execução podem manter esse recurso habilitado. Como esse cenário é improvável na prática, estamos tratando a questão dentro do nosso ciclo regular de lançamentos e publicaremos um boletim de segurança completo referente à CVE-2026-115560 juntamente com a próxima atualização.