Korupsi saat kehabisan memori
CVE-2026-109618 melibatkan keluar dini OOM dengan memori setengah diinisialisasi yang digunakan saat pembersihan. Patch memperkenalkan penanganan memori lunak dan keras. RCE lengkap dikonfirmasi pada mod_php. FPM dianggap rentan pada jalur aplikasi, tanpa eksploit lengkap untuk CVE ini.
Apakah FPM dikecualikan?
Tidak. FPM menghentikan anak jika startup permintaan gagal, memblokir sebagian urutan awal. Jalur aplikasi dan lintas permintaan tetap ada. Tidak semua lingkungan identik dengan mod_php, tetapi FPM tetap membutuhkan patch.
Hati-hati dengan memori
memory_limit=-1 hanya menghapus beberapa OOM terkendali PHP, bukan kegagalan alokasi OS. Gunakan pembatasan kontainer atau cgroup terpisah. Jangan gunakan RLIMIT_AS atau RLIMIT_DATA. Batasi ukuran dekode, header multipart, bagian dan kedalaman; post_max_size tidak cukup.
2. Pasang build yang diperbaiki
Versi pertama: 8.2.35, 8.3.36, 8.4.27 dan 8.5.12. Pilih cabang didukung dan ekstensi cocok. Uji aplikasi serta kesehatan layanan. Gunakan PHP atau vendor bertanggung jawab. WAF dan pembaruan CMS tidak memperbaiki interpreter.
| Cabang PHP | Rilis asli di bawah | Rilis perbaikan pertama | Akhir dukungan keamanan |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 Des 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 Des 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 Des 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 Des 2026 |
Tidak ada rilis reguler PHP untuk cabang ini. Backport sumber minimal tersedia untuk 7.4, 8.0, dan 8.1. Verifikasi dukungan vendor secara terpisah. Baca panduan ↗