Beschädigung bei Speichermangel
CVE-2026-109618 betrifft den vorzeitigen Ausstieg bei OOM. Teilinitialisierter Anfragespeicher kann bei der Bereinigung verwendet werden. Die Korrektur ersetzt das unsichere Muster durch neue weiche und harte Speichergrenzen. Vollständige RCE ist für mod_php bestätigt; FPM gilt als anfällig für anwendungsabhängige Pfade, ohne vollständigen FPM-Exploit für diese CVE.
Ist FPM ausgenommen?
Nein. FPM beendet einen Kindprozess bei fehlgeschlagenem Anfrage-Start und verhindert damit bestimmte Startsequenzen. Anwendungs- und anfrageübergreifende Pfade bleiben möglich. Die mod_php-Demonstration belegt nicht identische Ausnutzbarkeit jeder Umgebung; FPM ist aber auch kein Ersatz für ein Update.
Speichereinstellungen mit Vorsicht
memory_limit=-1 entfernt nur bestimmte kontrollierbare PHP-OOM-Pfade. Fehler der zugrunde liegenden Speicherzuweisung bleiben möglich. Begrenzen Sie Ressourcen unabhängig mit Containern oder cgroups. RLIMIT_AS und RLIMIT_DATA sind kein Ersatz. Beschränken Sie dekodierte Größen, Multipart-Header, Teile und Verschachtelung; post_max_size allein genügt nicht.
2. Korrigierten Build installieren
Die ersten korrigierten Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Verwenden Sie einen unterstützten Zweig und passende Erweiterungen aus vertrauenswürdiger Quelle. Testen Sie Anwendungen und Healthchecks. WAF-Regeln oder CMS-Updates ersetzen die Interpreter-Korrektur nicht.
| PHP-Zweig | Upstream-Versionen unter | Erste korrigierte Version | Ende der Sicherheitsupdates |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31. Dez. 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31. Dez. 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31. Dez. 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31. Dez. 2026 |
Für diese Zweige gibt es keine reguläre PHP-Veröffentlichung. Minimale Quellcode-Backports existieren für 7.4, 8.0 und 8.1. Herstellerunterstützung separat prüfen. Anleitung lesen ↗