Corruzione per memoria esaurita
CVE-2026-109618 riguarda l’uscita anticipata OOM con memoria parzialmente inizializzata usata nella pulizia. La patch introduce una gestione morbida e rigida. RCE completa è confermata su mod_php. FPM è considerato esposto a percorsi applicativi, senza exploit completo dimostrato per questa CVE.
FPM è esente?
No. FPM termina il figlio se l’avvio della richiesta fallisce, bloccando alcune sequenze iniziali. Restano percorsi applicativi e tra richieste. La dimostrazione mod_php non implica sfruttabilità identica ovunque, ma FPM non esonera dalla patch.
Attenzione alla memoria
memory_limit=-1 elimina alcuni OOM controllabili di PHP, non gli errori di allocazione OS. Servono limiti indipendenti di container o cgroup. Non usare RLIMIT_AS o RLIMIT_DATA. Limitare dimensioni decodificate, header multipart, parti e annidamento; post_max_size non basta.
2. Installare una build corretta
Prime versioni: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Scegliere un ramo supportato e aggiornare le estensioni. Testare app e controlli di salute. Usare fonti PHP o del fornitore. WAF e aggiornamenti CMS non correggono l’interprete.
| Ramo PHP | Versioni originali inferiori a | Prima versione corretta | Fine supporto di sicurezza |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 dic 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 dic 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 dic 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 dic 2026 |
Non sono previsti rilasci PHP ordinari per questi rami. Esistono backport minimi dei sorgenti per 7.4, 8.0 e 8.1. Verifica separatamente il supporto del fornitore. Leggi la guida ↗