Dois dias depois do patch de emergência que tirou sites do ar no mundo inteiro, o PHP publicou hoje um aviso informacional para uma terceira falha no mesmo subsistema de sessão. A CVE-2026-115560 tem descrição oficial, mitigação conhecida e nenhuma correção por enquanto.
O aviso é calibrado e curto
A mitigação é a mesma linha do dia 21: session.upload_progress.enabled=0, que segundo o projeto protege completamente deste vetor, considerado improvável na prática. Quem aplicou a linha quando o advisory GHSA-6wmf-4rv5-p3rp saiu já está coberto, e o texto diz isso literalmente: nenhuma ação adicional é necessária.
O detalhe técnico que explica a calma
O vetor exige uma combinação incomum de configuração e código: a aplicação precisa configurar o session.serialize_handler como php_binary ou php_serialize e depois trocá-lo para php em tempo de execução, com ini_set, antes de abrir a sessão, com o upload progress ainda ligado. Aplicação que nunca troca o handler em runtime pode manter a feature habilitada, diz o aviso oficial.
O contexto que impede dormir em cima do improvável
A exploração da dupla original começou quatro dias antes da divulgação, segundo a Amazon, e a SecurityWeek reportou operadores do Mirai entrando nos ataques com bypass de ASLR, com tentativas na casa dos milhões. Nesse clima, o critério deixa de ser a probabilidade: mitigação de uma linha e custo zero se justificam sozinhas.
A semana das três temperaturas de disclosure
A semana deixou três casos no mesmo tema, com três temperaturas de disclosure. O PHP2Shell vazou antes do prazo e virou emergência global; o kernel divulgou duas RCE sem patch por acidente de processo; e o PHP de hoje mostra a versão madura do exercício: condição improvável documentada com precisão, mitigação de uma linha e correção no ciclo regular.
Para quem seguiu a série: o inventário da terça já pagou o boleto de hoje. Na Tech86, é exatamente assim que operamos: o que foi mitigado uma vez fica documentado, e cada aviso novo é checado contra o que já está aplicado.
Conclusão
A checagem leva dois minutos e o próximo aviso pode não ser improvável. O que separa a resposta madura da corrida é o inventário: mitigação documentada uma vez serve para todos os avisos seguintes do mesmo subsistema, e é isso que transforma semana de disclosure em rotina de operação.