Vulnerabilidade do PHP: como proteger seu site agora

Vulnerabilidade do PHP exige atualização e revisão da configuração de sessões

O projeto PHP publicou em 23 de outubro um alerta sobre uma nova vulnerabilidade do PHP, identificada como CVE-2026-115560 e relacionada ao recurso de acompanhamento do progresso de uploads de sessão. Em uma combinação incomum de configurações e código da aplicação, o problema pode abrir um caminho para execução remota de código.

O risco é diferente para cada ambiente. A vulnerabilidade depende de o recurso session.upload_progress continuar habilitado e de a aplicação alterar o parâmetro session.serialize_handler durante a execução, antes de iniciar a sessão. Mesmo sendo uma condição pouco comum, administradores devem revisar a configuração e acompanhar a próxima correção regular do PHP.

O alerta é relacionado ao conjunto de falhas PHP2Shell divulgado nesta semana, mas o CVE-2026-115560 é um aviso separado. A atualização do PHP continua sendo a medida principal para manter o servidor protegido.

Vulnerabilidade do PHP: o que fazer agora

1. Atualize o PHP assim que a correção estiver disponível

Mantenha o PHP em uma versão suportada e acompanhe os comunicados do projeto PHP, da distribuição Linux e do provedor de hospedagem.

As versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 corrigiram as duas vulnerabilidades críticas PHP2Shell divulgadas em 21 de outubro. Para o CVE-2026-115560, o projeto PHP informou que a correção virá na próxima versão regular.

Atualizar o WordPress, o tema ou os plugins é importante, mas não corrige uma falha existente no próprio interpretador PHP. A atualização precisa ocorrer na camada do PHP usada pelo site.

2. Desative temporariamente o progresso de upload de sessão

Enquanto a correção regular não está disponível, a recomendação do projeto PHP é desabilitar:

session.upload_progress.enabled = Off

O administrador deve aplicar a configuração, por exemplo no php.ini, no pool do PHP-FPM ou na configuração do servidor. Depois, é necessário reiniciar todos os workers do PHP-FPM ou o serviço PHP correspondente.

Alterar essa opção com ini_set() dentro do código da aplicação não é suficiente para essa mitigação. Em hospedagens compartilhadas, o cliente deve solicitar ao provedor a aplicação da proteção.

3. Revise o uso de session.serialize_handler

Procure aplicações que:

• definem session.serialize_handler como php_binary ou php_serialize na configuração;
• trocam o valor para php com ini_set() durante a execução;
• chamam session_start() depois dessa troca;
• mantêm o acompanhamento de progresso de upload habilitado.

Se essa sequência não existe na aplicação, a condição específica descrita no alerta não está presente. Ainda assim, a equipe deve manter o PHP atualizado e registrar a decisão técnica.

4. Confirme a proteção no ambiente correto

A configuração usada pelo PHP do painel pode ser diferente da configuração usada pelo PHP-FPM do site. Por isso, confirme no ambiente que atende as requisições web:

• versão e build do PHP;
• valor efetivo de session.upload_progress.enabled;
• serviço que precisa ser reiniciado;
• existência de múltiplas versões ou pools PHP;
• funcionamento de formulários e uploads depois da mudança.

Em servidores gerenciados, peça ao provedor a confirmação por escrito. Em VPS ou servidor próprio, a administração da versão e dos workers é responsabilidade da equipe que mantém o ambiente.

Como a vulnerabilidade do PHP afeta quem usa WordPress?

O WordPress, o WooCommerce e muitos plugins usam PHP para executar suas funções. Isso não significa que toda instalação esteja na condição específica do CVE, mas significa que a camada do servidor precisa ser verificada.

A sequência recomendada é:

1. identificar a versão real do PHP usada pelo domínio;
2. atualizar para uma versão suportada e corrigida;
3. aplicar temporariamente session.upload_progress.enabled = Off, quando indicado;
4. reiniciar os workers;
5. testar login, formulários, uploads, checkout e integrações;
6. acompanhar o próximo release regular do PHP;
7. remover a mitigação apenas depois de confirmar a correção e avaliar a necessidade do recurso.

Não copie comandos de fontes desconhecidas nem tente explorar a falha para testar o servidor em produção. Faça a validação por configuração, logs, inventário de versões e testes controlados.

A XFROTA pode ajudar na revisão

A XFROTA Tecnologia pode apoiar a conferência de versões do PHP, configuração de PHP-FPM, limites de upload, atualização do ambiente e testes básicos após a mudança.

A proteção deve ser aplicada no servidor correto e validada depois do reinício. Um site que abre normalmente ainda pode estar usando outro pool PHP, outra versão ou outra configuração do que aquela verificada no painel.

Conclusão

O CVE-2026-115560 depende de uma combinação incomum de configuração e código, mas merece atenção porque está ligado ao tratamento de sessões e uploads no PHP.

A medida mais segura é manter o PHP atualizado. Até a próxima correção regular, desative administrativamente session.upload_progress.enabled quando a configuração for aplicável, reinicie os workers e confirme o funcionamento do site.

Acompanhe os comunicados oficiais do PHP e do seu provedor. Segurança de servidor é um processo contínuo de atualização, revisão e validação.

Conheça as soluções da XFROTA Tecnologia ou fale com nossa equipe.

Fontes consultadas

• PHP — Informational advisory: Session upload progress
• Hostinger — Hostinger deploys protections against php2shell PHP vulnerabilities
• CTIR Gov/CISC — Atualização sobre vulnerabilidades críticas de execução remota de código PHP
• PHP Manual — Session Runtime Configuration