1. O CTIR Gov, em análise conjunta com o CISC GOV.BR, informam que a equipe de segurança do PHP divulgou informações sobre uma nova vulnerabilidade, identificada como CVE-2026-115560, que, sob condições específicas, pode permitir a execução remota de código (RCE).

2. Segundo as informações divulgadas, a exploração dessa vulnerabilidade depende de uma combinação incomum de configurações e comportamentos da aplicação, envolvendo alterações no parâmetro session.serialize_handler durante a execução e a utilização do recurso session.upload_progress. Dessa forma, a probabilidade de exploração é considerada baixa, uma vez que essas condições não são habitualmente encontradas nas aplicações PHP.

3. Embora a vulnerabilidade não apresente, até o momento, o mesmo nível de preocupação das falhas críticas CVE-2026-109618 e CVE-2026-109619, divulgadas nesta semana, o CTIR Gov ressalta a importância de manter atenção especial à segurança dos ambientes PHP. As recentes divulgações colocaram essa tecnologia em evidência, podendo despertar maior interesse de pesquisadores de segurança e agentes maliciosos na identificação de outras vulnerabilidades e possibilidades de exploração.

4. Nesse contexto, recomenda-se, como medida preventiva, desabilitar temporariamente o recurso de acompanhamento do progresso de upload das sessões PHP, por meio da seguinte configuração: session.upload_progress.enabled=0

5. A medida deverá ser mantida até a disponibilização da próxima versão regular de correção do PHP, prevista para contemplar a vulnerabilidade CVE-2026-115560. Destaca-se que aplicações que não alteram o parâmetro session.serialize_handler durante a execução não estão sujeitas às condições específicas de exploração descritas no comunicado, podendo manter o recurso habilitado.

6. Adicionalmente, recomenda-se que as equipes responsáveis pela administração dos ambientes PHP verifiquem a aplicação das atualizações de segurança disponibilizadas em 21 de outubro de 2026, referentes às vulnerabilidades CVE-2026-109618 e CVE-2026-109619, e acompanhem os próximos comunicados oficiais do projeto PHP.

7. Para os gestores do Sistema Eletrônico de Informações (SEI), recomenda-se também a observância das orientações específicas da equipe do Processo Eletrônico Nacional (PEN), avaliando os impactos das alterações no sistema em produção.

8. Comunicação de incidentes: Caso seja identificada qualquer atividade anômala, tentativa de acesso não autorizado ou suspeita de comprometimento decorrente da exploração destas exposições, o órgão deve reportar imediatamente ao CTIR Gov e CISC GOV.BR pelos e-mails ctir@ctir.gov.br e cisc@gestao.gov.br.

[Atualização] Vulnerabilidades críticas de execução remota de código PHP

Links de compartilhamento em redes sociais