Corruptie bij geheugentekort
CVE-2026-109618 betreft voortijdige OOM-uitgang, met half geïnitialiseerd geheugen dat bij opruimen wordt gebruikt. De patch introduceert zachte en harde geheugenafhandeling. Volledige RCE is bevestigd voor mod_php. FPM wordt vatbaar geacht voor applicatiepaden, zonder volledig aangetoonde exploit voor deze CVE.
Is FPM uitgezonderd?
Nee. FPM beëindigt het kind als opstarten van de aanvraag mislukt en voorkomt bepaalde startreeksen. Applicatie- en aanvraagoverstijgende paden blijven. Niet elke omgeving is identiek exploiteerbaar aan mod_php; FPM vervangt evenmin een patch.
Geheugeninstellingen met zorg
memory_limit=-1 verwijdert bepaalde beheersbare PHP-OOM-paden, geen onderliggende allocatiefouten. Gebruik aparte container- of cgroup-begrenzing. Geen RLIMIT_AS of RLIMIT_DATA. Beperk gedecodeerde omvang, multipart-headers, delen en diepte; post_max_size alleen volstaat niet.
2. Installeer een gepatchte build
Eerste versies: 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Kies een ondersteunde branch en passende extensies. Test apps en healthchecks. Gebruik PHP of de verantwoordelijke leverancier. WAF en CMS-updates patchen de interpreter niet.
| PHP-branch | Upstream-versies lager dan | Eerste gepatchte versie | Einde beveiligingsondersteuning |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 dec 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 dec 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 dec 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 dec 2026 |
Geen reguliere PHP-release voor deze branches. Minimale broncode-backports bestaan voor 7.4, 8.0 en 8.1. Controleer leverancierondersteuning apart. Lees de gids ↗