RECOMENDAÇÃO 21/2026

[TLP:CLEAR]

1. O CTIR Gov, em análise conjunta com o CISC GOV.BR, informam que a equipe de segurança do PHP divulgou informações sobre uma nova vulnerabilidade, identificada como CVE-2026-115560, que, sob condições específicas, pode permitir a execução remota de código (RCE).

2. Segundo as informações divulgadas, a exploração dessa vulnerabilidade depende de uma combinação incomum de configurações e comportamentos da aplicação, envolvendo alterações no parâmetro `session.serialize_handler` durante a execução e a utilização do recurso `session.upload_progress`. Dessa forma, a probabilidade de exploração é considerada baixa, uma vez que essas condições não são habitualmente encontradas nas aplicações PHP.

3. Embora a vulnerabilidade não apresente, até o momento, o mesmo nível de preocupação das falhas críticas **CVE-2026-109618 e CVE-2026-109619**, divulgadas nesta semana, o CTIR Gov ressalta a importância de manter atenção especial à segurança dos ambientes PHP. As recentes divulgações colocaram essa tecnologia em evidência, podendo despertar maior interesse de pesquisadores de segurança e agentes maliciosos na identificação de outras vulnerabilidades e possibilidades de exploração.

4. Nesse contexto, recomenda-se, como medida preventiva, desabilitar temporariamente o recurso de acompanhamento do progresso de upload das sessões PHP, por meio da seguinte configuração: `session.upload_progress.enabled=0`

5. A medida deverá ser mantida até a disponibilização da próxima versão regular de correção do PHP, prevista para contemplar a vulnerabilidade CVE-2026-115560. Destaca-se que aplicações que não alteram o parâmetro `session.serialize_handler` durante a execução não estão sujeitas às condições específicas de exploração descritas no comunicado, podendo manter o recurso habilitado.

6. Adicionalmente, recomenda-se que as equipes responsáveis pela administração dos ambientes PHP verifiquem a aplicação das atualizações de segurança disponibilizadas em 21 de outubro de 2026, referentes às vulnerabilidades CVE-2026-109618 e CVE-2026-109619, e acompanhem os próximos comunicados oficiais do projeto PHP.

7. Para os gestores do Sistema Eletrônico de Informações (SEI), recomenda-se também a observância das orientações específicas da equipe do Processo Eletrônico Nacional (PEN), avaliando os impactos das alterações no sistema em produção.

8. Comunicação de incidentes: Caso seja identificada qualquer atividade anômala, tentativa de acesso não autorizado ou suspeita de comprometimento decorrente da exploração destas exposições, o órgão deve reportar imediatamente ao CTIR Gov pelo e-mail ctir@ctir.gov.br.

[TLP:CLEAR]