Segurança PHP - Desativação do recurso session.upload_progress devido a publicação de CVEs

Incident Report for Locaweb

Monitoring

21/10 - Nosso objetivo é manter um ambiente cada vez mais seguro para você, e desde a manhã estamos realizando as atualizações necessárias divulgadas pelas CVEs - Common Vulnerabilities and Exposures (Vulnerabilidades e Exposições Comuns) a seguir, que consiste em um primeiro momento na desativação (já realizada) do recurso session.upload_progress presente no PHP.

CVEs
- https://www.cve.org/CVERecord?id=CVE-2026-109618
- https://www.cve.org/CVERecord?id=CVE-2026-109619
- Página oficial do PHP: https://www.php.net/archive/2026.php#2026-10-21-5

O que esperar:
A desativação do recurso session.upload_progress impacta somente clientes que a utilizam para realizar upload através da aplicação.
Até que seja divulgada a correção definitiva, como parte do proceso de redução do risco, estamos desativando este recurso do PHP responsável por barra de progresso no processo de upload, ou seja, o upload continuará acontecendo, mas se sua aplicação possui barra de progresso em tela, essa funcionalidade visual não irá funcionar.

Este processo é fundamental para manter os seus serviços seguros.
Manteremos você informado através deste post.

Mais informações disponíveis na internet:
- https://www.php.net/archive/2026.php#2026-10-21-5
- https://www.cisoadvisor.com.br/php-alerta-para-duas-falhas-criticas-e-correcoes-emergenciais/
- https://www.cyberkendra.com/2026/10/php-cve-2026-109618-cve-2026-109619-rce.html
Posted Oct 21, 2026 - 16:38 GMT-03:00