Suporte 24 horas Fale no WhatsApp
Suporte 24 horas Fale no WhatsApp

O PHP publicou um aviso sobre a CVE-2026-115560, ainda sem correção.
Veja quem pode ser afetado, o que fazer e como a Delta já mitigou.

Em 23 de outubro de 2026, o PHP publicou um aviso informativo sobre o recurso de progresso de upload de sessão (session.upload_progress).

A falha recebeu o identificador CVE-2026-115560.

Ainda não existe versão do PHP com a correção.

O PHP informou que o aviso completo será publicado junto com a próxima versão regular.

Esta CVE é diferente da CVE-2026-109619, tratada no nosso alerta anterior.

Quando a falha pode ser explorada

O PHP descreve uma combinação incomum de configuração e código.

Todas as condições abaixo precisam acontecer juntas:

  • O session.serialize_handler está configurado como php_binary ou php_serialize.
  • A aplicação troca o formato para php, com ini_set(), antes de chamar session_start().
  • O recurso session.upload_progress.enabled está ligado.

Aplicações que nunca trocam o formato de sessão em tempo de execução podem manter o recurso ligado, segundo o PHP.

O PHP não publicou a lista de versões afetadas.

O que fazer agora

A orientação do PHP é desligar o session.upload_progress.enabled até a próxima versão regular.

Quem já desligou o recurso por causa da CVE-2026-109619 deve manter a configuração.

  1. Desligue o session.upload_progress.enabled na configuração do PHP.
  2. Reinicie o PHP-FPM ou o servidor web.
  3. Confira o valor no PHP que atende o site, e não só no terminal.
  4. Procure no código chamadas de ini_set com session.serialize_handler.
  5. Instale a correção quando o PHP publicá-la.
grep -rn "session.serialize_handler" /caminho/do/site

Proteção nos serviços gerenciados da Delta

Nos serviços gerenciados pela Delta, o recurso session.upload_progress está desligado em todos os PHP que atendem sites.

O formato de sessão está no padrão (php) nessas instalações.

Se o seu site usa uma configuração própria de PHP, como .user.ini ou php.ini, confira que o recurso não foi religado ali.

Vamos aplicar a correção nos servidores assim que o PHP a publicar.

O que não está incluído: VPS e servidores dedicados (bare metal) sem gerenciamento da Delta não foram alterados.

Quem administra o próprio servidor precisa desligar o recurso por conta própria.

Perguntas frequentes

Preciso desligar o recurso se o meu site não usa barra de progresso de upload?

A orientação do PHP é desligar até a correção.

Se a sua aplicação usa uma barra de progresso baseada em sessão, ela deixa de funcionar com o recurso desligado.

É a mesma falha do alerta anterior?

Não. A CVE-2026-115560 é diferente da CVE-2026-109619.

A mitigação, porém, é a mesma: manter o session.upload_progress.enabled desligado.

Atualizar o PHP resolve?

Ainda não, porque não há versão publicada com a correção.

Atualize assim que o PHP liberar a versão com o aviso completo.

Fontes