Разработчики интерпретатора PHP опубликовали внеочередные обновления безопасности, устраняющие две опасные уязвимости. Дефекты с номерами CVE-2026-109618 и CVE-2026-109619 позволяют неаутентифицированным удаленным атакующим выполнять произвольный код на веб-сервере с правами рабочего процесса.
Обе проблемы связаны с ошибками управления памятью при сбоях в ходе выполнения скрипта:
-
CVE-2026-109618 проявляется при превышении лимита памяти (
memory_limit). При некорректном прерывании запроса внутренние структуры данных остаются частично инициализированными, из-за чего последующая очистка приводит к повреждению памяти. - CVE-2026-109619 относится к классу Use-After-Free. Указатели на глобальное состояние запроса сохраняются после очистки памяти, что позволяет следующему запросу в рамках того же процесса получить доступ к чужим данным.
Проблемы затрагивают широкую линейку версий PHP. Исправления доступны в актуальных релизах PHP 8.2, 8.3, 8.4 и 8.5. Поскольку в сети уже появились первые публичные концепты атак (PoC), администраторам рекомендуется обновить интерпретаторы в приоритетном порядке.
>>> Подробности