CVE-2026-109619: PHP Уразливість Застарілого Внутрішнього Стану Запиту

Huntress описує CVE-2026-109619 як вразливість віддаленого виконання коду, спричинену тим, що PHP зберігає стан, специфічний для запиту, після звільнення його резервної пам'яті[2]. За даними Huntress, якщо той же робочий процес обробляє пізніший запит, PHP може отримати доступ до цього застарілого стану до того, як звичайна ініціалізація його скине.[2]Rapid7 повідомляє, що обидві вразливості мають показник CVSSv4 9,2[3]. Вона додає, що всі установки, що обслуговують веб-запити, беруться в зону ризику, включаючи PHP-FPM, Apache mod_php, php-cgi, FrankenPHP та LiteSpeed.[3]За словами Huntress, деталі двох вразливостей витекли в Інтернет до їх координованого розкриття та до того, як були випущені патчі[2] 20 жовтня. Huntress повідомляє, що команда PHP випустила PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35[2] 21 жовтня. Google Cloud повідомляє, що проект PHP не випускає виправлення для PHP 8.1 або старіших версій, які досягли кінця життя.[4] Однак Rapid7 повідомляє, що для цього інциденту PHP надав обмежені зворотні портування вихідного коду для PHP 7.4, 8.0 та 8.1.[3]Rapid7 говорить, що існує кілька публічних доказів концепції (PoC) експлойтів[3], але що жодна з них не виглядає широко надійною.[3]Palo Alto Networks' Unit 42 повідомляє, що Cortex Xpanse виявив понад 22,6 мільйонів виявлених екземплярів, потенційно вразливих[5] до двох вразливостей. CISA повідомляє організаціям, які не можуть застосувати патч або які все ще використовують PHP 8.1 чи старші версії, повинні вивести системи на основі PHP в офлайн, поки вони не зможуть бути пропатчені чи оновлені.[1]