Nova falha descoberta no ecossistema PHP2Shell
Pesquisadores identificaram uma terceira vulnerabilidade de execução remota de código (RCE) que pode permitir a invasores assumir o controle de sites ou executar malware em sistemas vulneráveis. Diferentemente das duas falhas anteriores, esta doenção não será corrigida com uma atualização emergencial, conforme informou a Fundação PHP.
A Fundação PHP reservou o identificador CVE-2026-115560 para a nova falha eplaneja lançar um aviso e uma correção no próximolançamento regular do PHP. Elizabeth Barron, diretora executiva da fundação,explicou que o problema exige uma combinação extremamente improável de configuração e de código de aplicação PHP, e que o risco prático é muito baixo.
Para mitigar o problema, a equipe de segurança recomenda que os usuarios desativem a funcionalidade de progresso de upload de sessão, definindo session.upload_progress.enabled=0 até o próximolançamento de correção de erros. Essa medida bloqueia o vetor de RCE improÁvel.
O ataque só pode ser viabilizado se uma aplicação configurar session.serialize_handler como php_binary ou php_serialize e depois alterá-lo para php via ini_set() antes de invocar session_start().
As duas primeiras falhas (CVE-2026-109618 e CVE-2026-109619), conhecidas coletivamente como PHP2Shell, foram divulgadas e corrigidas na quarta-feira. Apesar de tentativas de exploração em larga escala e de vários testes de prova de conceito, não há registros públicos de comprometimentos bem-sucedidos nas versões corrigidas.
Pesquisadores de segurança, incluindo a Mandiant, documentaram esforços de exploração, mas nenhum ataque confirmado em ambiente real. O diretor de tecnologia da Mandiant, Charles Carmakal, observou que alguns PoCs disponíveis online são mal elaborados e incapazes de realizar RCE, embora alguns sejam eficazes contra implantações padrão de mod_php.
Apesar da falta de evidências de exploração em massa, a comunidade de segurança orienta que os administradores sigam as recomendações de mitigao e mantenham os sistemas atualizados. A terceira falha permanece classificada como um risco baixo, mas a atencição deve permanecer alta conforme novos desenvolvimentos surgirem.
Com informações de: The Register