CVE-2026-109619 : Vulnérabilité PHP de fuite d'état de demande interne

Huntress décrit CVE-2026-109619 comme une faille d'exécution de code à distance causée par le fait que PHP conserve un état spécifique à la demande après que la mémoire de secours a été libérée[2]. Selon Huntress, si le même processus traite une demande ultérieure, PHP peut accéder à cet état obsolète avant que l'initialisation normale ne le réinitialise.[2]Rapid7 rapporte que les deux failles ont un score CVSSv4 de 9,2[3]. Il ajoute que toutes les installations servant des requêtes Web sont à risque, y compris PHP-FPM, Apache mod_php, php-cgi, FrankenPHP et LiteSpeed.[3]Selon Huntress, les détails des deux vulnérabilités ont été divulgués en ligne avant leur divulgation coordonnée et avant la publication des correctifs[2] le 20 octobre. Huntress déclare que l'équipe PHP a publié PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35[2] le 21 octobre. Google Cloud rapporte que le projet PHP ne publie pas de correctifs pour PHP 8.1 ou antérieur, qui ont atteint la fin de vie.[4] Cependant, Rapid7 déclare que pour cet incident, PHP a fourni des rétroports de source limités pour PHP 7.4, 8.0 et 8.1.[3]Rapid7 dit que plusieurs exploits publics de preuve de concept (PoC)[3] existent maintenant, mais que aucun ne semble être largement fiable.[3]Palo Alto Networks' Unit 42 déclare que Cortex Xpanse a trouvé plus de 22,6 millions d'instances exposées potentiellement vulnérables[5] aux deux failles. La CISA déclare que les organisations qui ne peuvent pas appliquer de correctif, ou qui exécutent toujours PHP 8.1 ou antérieur, devraient mettre les systèmes basés sur PHP hors ligne jusqu'à ce qu'ils puissent être corrigés ou mis à jour.[1]