Os desenvolvedores do projeto PHP alertaram sobre a descoberta de mais uma vulnerabilidade (CVE-2026-115560), que potencialmente pode ser utilizada para a execução remota de código no servidor sob uma combinação rara de configurações não padrão (não na configuração padrão) e código PHP executado. Detalhes sobre a vulnerabilidade serão publicados assim que os próximos lançamentos corretivos do PHP estiverem prontos.
Como uma solução alternativa de proteção, recomenda-se definir no php.ini o parâmetro "session.upload_progress.enabled=0", que também foi recomendado como uma das medidas para bloquear a vulnerabilidade crítica anterior. O problema ocorre quando na configuração o parâmetro "session.serialize_handler" está definido como "php_binary" ou "php_serialize", e esse parâmetro é alterado no código PHP para "php" através da função "ini_set()" antes da chamada da função session_start().
Fonte: opennet.ru
