A fundação responsável pela linguagem de programação web PHP revelou, nesta sexta-feira (23), mais uma falha de segurança. A nova vulnerabilidade aparece depois de uma semana difícil para desenvolvedores da área.
A brecha em questão foi catalogada como CVE-2026-115560 e, caso seja explorada, é capaz de permitir a execução remota de código.
Porém, o tratamento dado a ela será diferente dos processos urgentes que envolveram duas outras falhas, a CVE-2026-109618 e CVE-2026-109619, que provocou ataques e mobilizou o mercado em escala global.
Brecha não é tão grave por ser incomum
De acordo com a própria PHP Foundation e o Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU), entidade que emitiu os alertas sobre as falhas anteriores, a vulnerabilidade mais recente é considerada um “risco improvável”.
O motivo é a exigência de uma configuração bastante específica e “incomum” em servidores web para que ela seja explorada, ao contrário do uso padrão da plataforma que já era o suficiente para o aproveitamento de brechas anteriores.
A brecha está relacionada com o gerenciamento de sessões e ao acompanhamento de progresso de uploads;
Para explorá-la, um invasor precisa aproveitar a criação de uma “condição inesperada” no processamento dos dados de uma sessão, abrindo caminho para a execução de código no servidor;
Até o momento, não há relatos de exploração em ambiente real dessa falha.
Como escapar da nova brecha no PHP?
