Разработчики интерпретатора PHP опубликовали внеочередные обновления безопасности, устраняющие две опасные уязвимости. Дефекты с номерами CVE-2026-109618 и CVE-2026-109619 позволяют неаутентифицированным удаленным атакующим выполнять произвольный код на веб-сервере с правами рабочего процесса.

Обе проблемы связаны с ошибками управления памятью при сбоях в ходе выполнения скрипта:

• CVE-2026-109618 проявляется при превышении лимита памяти (memory_limit). При некорректном прерывании запроса внутренние структуры данных остаются частично инициализированными, из-за чего последующая очистка приводит к повреждению памяти.
• CVE-2026-109619 относится к классу Use-After-Free. Указатели на глобальное состояние запроса сохраняются после очистки памяти, что позволяет следующему запросу в рамках того же процесса получить доступ к чужим данным.

Проблемы затрагивают широкую линейку версий PHP. Исправления доступны в актуальных релизах PHP 8.2, 8.3, 8.4 и 8.5. Поскольку в сети уже появились первые публичные концепты атак (PoC), администраторам рекомендуется обновить интерпретаторы в приоритетном порядке.

>>> Подробности