Segurança PHP - Desativação do recurso session.upload_progress devido a publicação de CVEs

Concluímos todos os ajustes para garantir a segurança dos ambientes.

We are continuing to monitor for any further issues.

22/10 - Nosso objetivo é manter um ambiente cada vez mais seguro para você, e nesta manhã estamos realizando as atualizações necessárias divulgadas pelas CVEs - Common Vulnerabilities and Exposures (Vulnerabilidades e Exposições Comuns) a seguir, que consiste em um primeiro momento na desativação do recurso session.upload_progress presente no PHP.

CVEs
- https://www.cve.org/CVERecord?id=CVE-2026-109618
- https://www.cve.org/CVERecord?id=CVE-2026-109619
- Página oficial do PHP: https://www.php.net/archive/2026.php#2026-10-21-5

O que esperar:
A desativação do recurso session.upload_progress impacta somente clientes que a utilizam para realizar upload através da aplicação.

Até que seja divulgada a correção definitiva, como parte do processo de redução do risco, estamos desativando este recurso do PHP responsável por barra de progresso no processo de upload, ou seja, o upload continuará acontecendo, mas se sua aplicação possui barra de progresso em tela, essa funcionalidade visual não irá funcionar.

Não é necessária nenhuma ação de sua parte. Nossa equipe está atuando nas medidas necessárias para mitigar qualquer tipo de impacto.

Dessa forma, não é necessário alterar a versão do PHP ou realizar ajustes emergenciais na aplicação.

Este processo é fundamental para manter os seus serviços seguros.
Manteremos você informado através deste post.

Mais informações disponíveis na internet:
- https://www.php.net/archive/2026.php#2026-10-21-5
- https://www.cisoadvisor.com.br/php-alerta-para-duas-falhas-criticas-e-correcoes-emergenciais/
- https://www.cyberkendra.com/2026/10/php-cve-2026-109618-cve-2026-109619-rce.html

Seguiremos acompanhando o cenário e atuando para minimizar possíveis transtornos.