Status usang lintas permintaan
CVE-2026-109619 meninggalkan referensi ke memori permintaan yang telah dibebaskan. Permintaan berikutnya pada worker sama dapat memakainya sebelum inisialisasi. Jalur terkonfirmasi: backtrace fatal PHP 8.5 dan progres unggahan sesi. RCE divalidasi pada mod_php dan FPM melalui jalur aplikasi sesuai.
Apakah FPM dikecualikan?
Tidak. FPM menghentikan anak jika startup permintaan gagal, memblokir sebagian urutan awal. Jalur aplikasi dan lintas permintaan tetap ada. Tidak semua lingkungan identik dengan mod_php, tetapi FPM tetap membutuhkan patch.
Progres unggahan dan backtrace
Terapkan session.upload_progress.enabled=0 sebelum parsing lalu restart. PHP 8.5 fatal_error_backtraces=0 hanya memblokir jalur terkonfirmasi. Hapus INI awal yang tidak valid. display_errors, error_reporting dan @ tidak menghentikan cacat. Tidak ada pengaturan mencakup semua varian.
2. Pasang build yang diperbaiki
Versi pertama: 8.2.35, 8.3.36, 8.4.27 dan 8.5.12. Pilih cabang didukung dan ekstensi cocok. Uji aplikasi serta kesehatan layanan. Gunakan PHP atau vendor bertanggung jawab. WAF dan pembaruan CMS tidak memperbaiki interpreter.
| Cabang PHP | Rilis asli di bawah | Rilis perbaikan pertama | Akhir dukungan keamanan |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 Des 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 Des 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 Des 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 Des 2026 |
Tidak ada rilis reguler PHP untuk cabang ini. Backport sumber minimal tersedia untuk 7.4, 8.0, dan 8.1. Verifikasi dukungan vendor secara terpisah. Baca panduan ↗