CVE-2026-109618: PHP Memory Corruption Vulnerability

По данным Rapid7, 21 октября 2026 года проект PHP объявил о выпуске обновлений безопасности для двух критических уязвимостей в PHP[3]. Rapid7 сообщает, что CVE-2026-109618 может повредить память во время обработки нехватки памяти (OOM)[3], и что обе уязвимости имеют оценку CVSSv4 9.2[3].watchTowr сообщает, что детали были опубликованы в социальных сетях до запланированной даты раскрытия 22 октября[1]. По данным Sansec, Cloudflare сообщила о ранних атаках в 07:43 UTC 21 октября, до выпуска в 14:00 UTC.[2]PHP Group, как цитирует Plesk, считает риск наиболее высоким для mod_php с продемонстрированным эксплойтом, при котором несанкционированный запрос может вызвать атаку до выполнения кода приложения.[4] Sansec сообщает, что обработчик загрузки прогресса PHP может вернуть освобожденную память рабочего процесса клиенту внутри куки PHPSESSID.[2]Rapid7 говорит, что общедоступные доказательства концепции эксплуатации работают только против определенных конфигураций, и что "ни один из них не кажется широко надежным."[3] Sansec сообщает, что общедоступные эксплойты не работают против установки PHP по умолчанию.[2]По данным AWS, немедленное обновление до исправленного релиза PHP - единственное полное решение: 8.5.12, 8.4.27, 8.3.36 или 8.2.35.[5] Rapid7 сообщает, что PHP предоставил ограниченные резервные копии исходного кода для PHP 7.4, 8.0 и 8.1.[3]Cortex Xpanse компании Palo Alto Networks сообщает, что обнаружила более 22,6 миллиона открытых экземпляров, потенциально уязвимых[6]. watchTowr сообщила, что по состоянию на 22 октября 2026 года CISA не добавила ни одно из этих CVE в свой каталог известных эксплуатируемых уязвимостей.[1]