PHP: Novo vetor RCE associado ao Session Upload Progress CVE-2026-115560

🔎 O que aconteceu?

A equipa de segurança do PHP publicou um novo aviso informativo relacionado com o mecanismo Session Upload Progress, na sequência da investigação das vulnerabilidades críticas CVE-2026-109618 e CVE-2026-109619, divulgadas a 21 de outubro de 2026.

Foi identificado um vetor adicional que, sob uma combinação pouco habitual de configuração do PHP e comportamento específico da aplicação, poderá permitir Remote Code Execution (RCE).

Esta situação recebeu o identificador CVE-2026-115560. Segundo a equipa do PHP, o problema será tratado no ciclo normal de atualizações e será publicado um advisory completo juntamente com a próxima versão regular de correção de bugs.

Este novo aviso está diretamente relacionado com o incidente anteriormente acompanhado pela WebTuga relativo às CVE-2026-109618 e CVE-2026-109619.

• 🔗 Incidente anterior: PHP: Vulnerabilidades Críticas CVE-2026-109618 / CVE-2026-109619
• 🔗 Referência oficial: Informational advisory: Session upload progress

⚠️ O que afeta?

A exploração da CVE-2026-115560 requer uma combinação específica e pouco comum entre configuração do PHP e código da aplicação.

Para que o cenário identificado possa ocorrer, é necessário que:

• session.serialize_handler esteja inicialmente configurado como php_binary ou php_serialize;
• a aplicação altere posteriormente este parâmetro em runtime para php, através de ini_set();
• seja chamado session_start() após essa alteração;
• a funcionalidade PHP Session Upload Progress permaneça ativa.

De acordo com a equipa de segurança do PHP, aplicações que não alterem dinamicamente o session.serialize_handler durante a execução não estão expostas a este vetor específico. A combinação necessária é considerada pouco provável em aplicações PHP convencionais.

🧠 Impacto técnico

O problema poderá, nas condições específicas identificadas, criar um vetor de execução remota de código (RCE). O mecanismo envolvido está relacionado com o processamento de sessões e com o PHP Session Upload Progress.

Importa distinguir esta nova CVE das vulnerabilidades CVE-2026-109618 e CVE-2026-109619 anteriormente divulgadas. As respetivas atualizações de segurança já foram disponibilizadas e aplicadas pela WebTuga nos sistemas sob sua gestão.

A CVE-2026-115560 corresponde a um vetor adicional agora identificado, cuja correção definitiva será integrada numa próxima versão regular do PHP.

🛡️ Mitigação

A equipa de segurança do PHP recomenda, até à disponibilização da próxima versão regular de correção, a desativação do mecanismo Session Upload Progress:

session.upload_progress.enabled = 0

Esta medida já tinha sido recomendada no advisory da CVE-2026-109619, publicado a 21 de outubro, e foi igualmente considerada durante o tratamento do incidente anterior.

Segundo o PHP, nos sistemas onde esta mitigação já tenha sido aplicada, não é necessária qualquer ação adicional relativamente a este novo aviso.

A configuração deverá permanecer desativada até à disponibilização da correção definitiva.

🏗️ O que estamos a fazer

A WebTuga já tinha acompanhado e tratado as vulnerabilidades críticas CVE-2026-109618 e CVE-2026-109619, tendo procedido à atualização das diferentes plataformas PHP sob sua gestão e aplicado as medidas adicionais de proteção recomendadas.

A mitigação através da desativação de:

session.upload_progress.enabled

já fazia parte das medidas consideradas para proteção contra os vetores associados à CVE-2026-109619.

Na sequência deste novo aviso, estamos a manter esta medida preventiva e a acompanhar a publicação da correção definitiva para a CVE-2026-115560 pelos diferentes fornecedores das plataformas utilizadas na nossa infraestrutura.

Quando forem disponibilizados os respetivos pacotes corrigidos, será efetuada a sua análise e atualização nos sistemas aplicáveis.

✅ Estado atual

🟡 Mitigação preventiva aplicada

O vetor descrito pelo PHP depende de uma combinação pouco habitual de configuração e código da aplicação. A mitigação recomendada através da desativação de session.upload_progress.enabled mantém-se aplicada nos sistemas abrangidos.

Não é necessária qualquer intervenção por parte dos clientes dos serviços geridos pela WebTuga.

Mantemos o acompanhamento da situação até à disponibilização da correção definitiva pelo projeto PHP e dos respetivos pacotes pelos fornecedores das plataformas utilizadas.

🧾 Conclusão

A CVE-2026-115560 corresponde a um novo vetor RCE identificado durante a investigação das recentes vulnerabilidades de segurança do PHP.

A exploração exige condições específicas e pouco comuns. Até à disponibilização da correção definitiva, o PHP recomenda manter desativado o mecanismo Session Upload Progress.

A WebTuga mantém a mitigação preventiva e continuará a acompanhar a disponibilização das próximas atualizações de segurança.