Veralteter Zustand zwischen Anfragen
CVE-2026-109619 lässt Worker auf bereits freigegebenen Anfragespeicher verweisen. Eine spätere Anfrage am selben Worker kann diesen vor der Initialisierung verwenden. Bestätigte Pfade betreffen PHP-8.5-Fehler-Backtraces und den Session-Upload-Fortschritt. RCE wurde für mod_php sowie FPM mit geeignetem Anwendungspfad validiert.
Ist FPM ausgenommen?
Nein. FPM beendet einen Kindprozess bei fehlgeschlagenem Anfrage-Start und verhindert damit bestimmte Startsequenzen. Anwendungs- und anfrageübergreifende Pfade bleiben möglich. Die mod_php-Demonstration belegt nicht identische Ausnutzbarkeit jeder Umgebung; FPM ist aber auch kein Ersatz für ein Update.
Upload-Fortschritt und Backtraces
session.upload_progress.enabled=0 muss vor Anfrageverarbeitung gelten; Worker danach neu starten. Unter PHP 8.5 beseitigt fatal_error_backtraces=0 nur den bestätigten Backtrace-Pfad. Entfernen Sie ungültige frühe INI-Overrides. display_errors, error_reporting oder @ verhindern den Fehler nicht. Keine Einstellung deckt sämtliche Varianten ab.
2. Korrigierten Build installieren
Die ersten korrigierten Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Verwenden Sie einen unterstützten Zweig und passende Erweiterungen aus vertrauenswürdiger Quelle. Testen Sie Anwendungen und Healthchecks. WAF-Regeln oder CMS-Updates ersetzen die Interpreter-Korrektur nicht.
| PHP-Zweig | Upstream-Versionen unter | Erste korrigierte Version | Ende der Sicherheitsupdates |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31. Dez. 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31. Dez. 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31. Dez. 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31. Dez. 2026 |
Für diese Zweige gibt es keine reguläre PHP-Veröffentlichung. Minimale Quellcode-Backports existieren für 7.4, 8.0 und 8.1. Herstellerunterstützung separat prüfen. Anleitung lesen ↗