Разработчики PHP 21 октября выпустили версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 с исправлениями двух критических уязвимостей. Обе ошибки допускают удалённое выполнение кода без авторизации через веб-запросы.
Под угрозой находятся установки, обслуживающие веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Самым высоким команда PHP считает риск для mod_php: для него продемонстрирована атака, срабатывающая ещё до запуска кода приложения.
CVE-2026-109618 связана с обработкой нехватки памяти. Работа PHP может прерваться при частично подготовленных данных запроса, а последующая очистка — принять повреждённые данные за корректные. При CVE-2026-109619 внутреннее состояние запроса сохраняется после освобождения соответствующей памяти. Следующий запрос к тому же рабочему процессу может обратиться к этому устаревшему состоянию.
Команда PHP рекомендует немедленно установить исправления: изменения настроек перекрывают лишь отдельные способы атаки. Поставщики Linux-дистрибутивов получили патчи заранее и могут выпускать свои пакеты. PHP 8.1 и более старые ветки уже вышли из обычной поддержки проекта, однако отдельные поставщики долгосрочной поддержки предоставляют перенесённые исправления.
