CVE-2026-109619: Уязвимость PHP с устаревшим состоянием внутреннего запроса

Huntress описывает CVE-2026-109619 как уязвимость удаленного выполнения кода, вызванную тем, что PHP сохраняет состояние, специфичное для запроса, после того как его резервная память была освобождена[2]. По словам Huntress, если один и тот же рабочий процесс обрабатывает более поздний запрос, PHP может получить доступ к этому устаревшему состоянию до того, как нормальная инициализация его сбросит.[2]Rapid7 сообщает, что обе уязвимости имеют оценку CVSSv4 9,2[3]. Она добавляет, что все установки, обслуживающие веб-запросы, находятся в группе риска, включая PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed.[3]По словам Huntress, информация о двух уязвимостях утекла в интернет до их скоординированного раскрытия и до выпуска исправлений[2] 20 октября. Huntress говорит, что команда PHP выпустила PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35[2] 21 октября. Google Cloud сообщает, что проект PHP не выпускает исправления для PHP 8.1 и более ранних версий, которые достигли конца жизненного цикла.[4] Однако Rapid7 говорит, что для этого инцидента PHP предоставила ограниченные обратные порты исходного кода для PHP 7.4, 8.0 и 8.1.[3]Rapid7 говорит, что существует несколько общедоступных доказательств концепции (PoC)[3] эксплойтов, но что ни один из них не кажется широко надежным.[3]Palo Alto Networks' Unit 42 говорит, что Cortex Xpanse обнаружила более 22,6 миллиона открытых экземпляров, потенциально уязвимых[5] к этим двум уязвимостям. CISA сообщает, что организации, которые не могут применить исправление или все еще используют PHP 8.1 или более ранние версии, должны вывести системы на основе PHP в автономный режим до тех пор, пока они не смогут быть исправлены или обновлены.[1]