PHP revela nova vulnerabilidade após crise com falha crítica

Nintendo Switch 2 é desbloqueado pela primeira vez; confira gameplay com jailbreak1: 02A fundação responsável pela linguagem de programação web PHP revelou, nesta sexta-feira (23), mais uma falha de segurança. A nova vulnerabilidade aparece depois de uma semana difícil para desenvolvedores da área. A brecha em questão foi catalogada como CVE-2026-115560 e, caso seja explorada, é capaz de permitir a execução remota de código. Porém, o tratamento dado a ela será diferente dos processos urgentes que envolveram duas outras falhas, a CVE-2026-109618 e CVE-2026-109619, que provocou ataques e mobilizou o mercado em escala global. Brecha não é tão grave por ser incomumDe acordo com a própria PHP Foundation e o Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU), entidade que emitiu os alertas sobre as falhas anteriores, a vulnerabilidade mais recente é considerada um “risco improvável”. O motivo é a exigência de uma configuração bastante específica e “incomum” em servidores web para que ela seja explorada, ao contrário do uso padrão da plataforma que já era o suficiente para o aproveitamento de brechas anteriores. A brecha está relacionada com o gerenciamento de sessões e ao acompanhamento de progresso de uploads; Para explorá-la, um invasor precisa aproveitar a criação de uma “condição inesperada” no processamento dos dados de uma sessão, abrindo caminho para a execução de código no servidor; Até o momento, não há relatos de exploração em ambiente real dessa falha.

Como escapar da nova brecha no PHP? A forma de controle sugerida até o momento é desabilitar temporariamente o acompanhamento de progresso de uploads, ou “session. upload_progress. enabled”. A correção definitiva está prevista para ser enviada apenas em uma atualização regular e futura do PHP, ainda sem data para ser disponibilizada. s atualizações emergenciais da PHP2Shell não corrigem automaticamente a nova CVE-2026-115560, mas há uma boa notícia nesse cenário: desabilitar o componente de progresso de uploads era uma recomendação de uma das falhas anteriores, o que significa que muitos servidores já estão devidamente protegidos. Ainda assim, o recomendável é conferir se a configuração está de fato desabilitada e aguardar pela atualização oficial. Qual é a falha crítica recente descoberta no Python e que também expõe servidores a invasões? Descubra nesta matéria!