CVE-2026-109618: Вразливість у PHP, пов'язана з пошкодженням пам'яті

На думку Rapid7, 21 жовтня 2026 року проект PHP оголосив про випуск безпеки для двох критичних вразливостей у PHP[3]. Rapid7 повідомляє, що CVE-2026-109618 може пошкодити пам'ять під час обробки вичерпання пам'яті (OOM)[3], а також що обидві вразливості мають оцінку CVSSv4 9.2[3].watchTowr повідомляє, що деталі виявилися в соціальних мережах до запланованої дати розкриття 22 жовтня[1]. За словами Sansec, Cloudflare повідомив про ранні атаки о 07:43 UTC 21 жовтня, до випуску о 14:00 UTC.[2]Група PHP, як цитує Plesk, говорить, що розглядає найбільший ризик для mod_php з демонстраційним експлойтом, де неавторизований запит може спровокувати атаку до запуску будь-якого коду програми.[4] Sansec говорить, що обробник прогресу завантаження PHP може повернути звільнену пам'ять робітника клієнту всередині файлу cookie відповіді PHPSESSID.[2]Rapid7 говорить, що публічні proof-of-concept експлойти працюють тільки проти конкретних конфігурацій, і що «жоден з них не здається широко надійним».[3] Sansec повідомляє, що публічні експлойти не працюють проти стандартної інсталяції PHP.[2]За словами AWS, негайне оновлення до виправленого випуску PHP є єдиним повним рішенням: 8.5.12, 8.4.27, 8.3.36 або 8.2.35.[5] Rapid7 повідомляє, що PHP надав обмежені портування вихідного коду для PHP 7.4, 8.0 та 8.1.[3]Cortex Xpanse від Palo Alto Networks говорить, що знайшов понад 22,6 мільйона відкритих екземплярів, потенційно вразливих[6]. watchTowr повідомив, що станом на 22 жовтня 2026 року CISA не додав жодне з CVE до свого каталогу відомих експлуатованих вразливостей.[1]