Stato residuo tra richieste
CVE-2026-109619 lascia riferimenti a memoria liberata. Una richiesta successiva allo stesso worker può usarli prima dell’inizializzazione. Percorsi confermati: backtrace fatali PHP 8.5 e avanzamento upload di sessione. RCE validata su mod_php e FPM con un percorso applicativo adatto.
FPM è esente?
No. FPM termina il figlio se l’avvio della richiesta fallisce, bloccando alcune sequenze iniziali. Restano percorsi applicativi e tra richieste. La dimostrazione mod_php non implica sfruttabilità identica ovunque, ma FPM non esonera dalla patch.
Upload e backtrace
Impostare session.upload_progress.enabled=0 prima del parsing e riavviare. In PHP 8.5 fatal_error_backtraces=0 blocca solo il percorso confermato. Eliminare override INI errati che generano diagnostica precoce. display_errors, error_reporting e @ non impediscono il difetto. Nessuna impostazione copre tutto.
2. Installare una build corretta
Prime versioni: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Scegliere un ramo supportato e aggiornare le estensioni. Testare app e controlli di salute. Usare fonti PHP o del fornitore. WAF e aggiornamenti CMS non correggono l’interprete.
| Ramo PHP | Versioni originali inferiori a | Prima versione corretta | Fine supporto di sicurezza |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 dic 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 dic 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 dic 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 dic 2026 |
Non sono previsti rilasci PHP ordinari per questi rami. Esistono backport minimi dei sorgenti per 7.4, 8.0 e 8.1. Verifica separatamente il supporto del fornitore. Leggi la guida ↗