Estado residual entre peticiones
CVE-2026-109619 deja referencias del proceso a memoria de peticiones ya liberada. Otra petición al mismo proceso puede consumirlas antes de inicializarse. Se confirmaron rutas de backtrace fatal en PHP 8.5 y de progreso de carga de sesión. Hay RCE validada en mod_php y FPM con una ruta de aplicación adecuada.
¿FPM queda exento?
No. FPM termina el proceso hijo cuando falla el inicio de la petición, bloqueando algunas secuencias iniciales. No elimina las rutas de aplicación o entre peticiones. La demostración mod_php no implica idéntica explotación en todas partes, pero FPM tampoco sustituye el parche.
Progreso de carga y backtraces
Aplique session.upload_progress.enabled=0 antes del análisis y reinicie. En PHP 8.5, fatal_error_backtraces=0 bloquea solo la ruta confirmada. Quite ajustes inválidos por petición que generen diagnósticos tempranos. display_errors, error_reporting y @ no detienen el fallo; ningún ajuste cubre todas las variantes.
2. Instale una compilación corregida
Primeras versiones: 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Elija una rama con soporte y actualice las extensiones compatibles. Pruebe aplicaciones y salud del servicio. Obtenga paquetes de PHP o del proveedor responsable. Un WAF o actualizar el CMS no corrige PHP.
| Rama PHP | Versiones originales inferiores a | Primera versión corregida | Fin del soporte de seguridad |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 dic 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 dic 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 dic 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 dic 2026 |
No hay una publicación habitual de PHP para estas ramas. Existen parches mínimos de código fuente para 7.4, 8.0 y 8.1; verifique el soporte del proveedor por separado. Leer guía ↗