CVE-2026-109619: Vulnerabilidade de PHP com Estado de Requisição Obsoleto Interno

Huntress descreve CVE-2026-109619 como uma falha de execução remota de código causada por PHP reter estado específico de requisição após sua memória de suporte ter sido liberada[2]. De acordo com Huntress, se o mesmo worker processar uma requisição posterior, PHP pode acessar esse estado obsoleto antes que a inicialização normal o redefina.[2]Rapid7 relata que ambas as falhas têm uma pontuação CVSSv4 de 9,2[3]. Acrescenta que todas as instalações que servem requisições da web estão em risco, incluindo PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed.[3]De acordo com Huntress, detalhes das duas vulnerabilidades vazaram online antes de sua divulgação coordenada e antes que patches fossem lançados[2] em 20 de outubro. Huntress diz que o time do PHP lançou PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35[2] em 21 de outubro. Google Cloud relata que o projeto PHP não está lançando correções para PHP 8.1 ou versões anteriores, que atingiram fim de vida.[4] Rapid7, no entanto, diz que para este incidente, PHP forneceu backports de origem limitados para PHP 7.4, 8.0 e 8.1.[3]Rapid7 diz que múltiplos exploits de prova de conceito (PoC) públicos[3] agora existem, mas que nenhum parece ser amplamente confiável.[3]Palo Alto Networks' Unit 42 diz que Cortex Xpanse encontrou mais de 22,6 milhões de instâncias expostas potencialmente vulneráveis[5] às duas falhas. CISA diz que organizações que não conseguem fazer patch, ou que ainda executam PHP 8.1 ou mais antigo, devem colocar sistemas baseados em PHP offline até que possam ser corrigidos ou atualizados.[1]