Oude toestand tussen aanvragen
CVE-2026-109619 bewaart verwijzingen naar vrijgegeven aanvraaggeheugen. Een volgende aanvraag op dezelfde worker kan die vóór initialisatie gebruiken. Bevestigd: PHP-8.5-foutbacktraces en sessie-uploadvoortgang. RCE gevalideerd bij mod_php en FPM met geschikt applicatiepad.
Is FPM uitgezonderd?
Nee. FPM beëindigt het kind als opstarten van de aanvraag mislukt en voorkomt bepaalde startreeksen. Applicatie- en aanvraagoverstijgende paden blijven. Niet elke omgeving is identiek exploiteerbaar aan mod_php; FPM vervangt evenmin een patch.
Uploadvoortgang en backtraces
Stel session.upload_progress.enabled=0 vóór parsing in en herstart. PHP 8.5 fatal_error_backtraces=0 stopt slechts het bevestigde pad. Verwijder ongeldige vroege INI-overrides. display_errors, error_reporting en @ stoppen de fout niet. Geen instelling dekt alles.
2. Installeer een gepatchte build
Eerste versies: 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Kies een ondersteunde branch en passende extensies. Test apps en healthchecks. Gebruik PHP of de verantwoordelijke leverancier. WAF en CMS-updates patchen de interpreter niet.
| PHP-branch | Upstream-versies lager dan | Eerste gepatchte versie | Einde beveiligingsondersteuning |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 dec 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 dec 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 dec 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 dec 2026 |
Geen reguliere PHP-release voor deze branches. Minimale broncode-backports bestaan voor 7.4, 8.0 en 8.1. Controleer leverancierondersteuning apart. Lees de gids ↗