Actualização para quem chegar aqui agora: a 23/10 o php.net publicou um aviso sobre uma terceira falha, a CVE-2026-115560, no progresso de upload das sessões. Desta vez sem versão de emergência: só é explorável se a aplicação mudar o session.serialize_handler para "php" com ini_set() antes do session_start(). A mitigação é a mesma que já se recomendava para a CVE-2026-109619 (session.upload_progress.enabled=0), e quem a aplicou deve mantê-la. Fonte: https://www.php.net/