Uszkodzenie przy braku pamięci
CVE-2026-109618 dotyczy przedwczesnego wyjścia OOM i użycia częściowo zainicjalizowanej pamięci przy sprzątaniu. Poprawka wprowadza miękką i twardą obsługę pamięci. Pełny RCE potwierdzono dla mod_php. FPM uznano za podatny na ścieżki aplikacyjne, bez pełnego exploita tej CVE.
Czy FPM jest wyłączony?
Nie. FPM kończy proces potomny po nieudanym starcie żądania, blokując część sekwencji. Ścieżki aplikacyjne i między żądaniami pozostają. Demonstracja mod_php nie oznacza identycznej eksploatacji wszędzie, lecz FPM nie zwalnia z aktualizacji.
Ostrożnie z pamięcią
memory_limit=-1 usuwa część kontrolowanych OOM PHP, nie błędy alokacji systemu. Potrzebne niezależne limity kontenera lub cgroup. Nie stosuj RLIMIT_AS ani RLIMIT_DATA. Ogranicz rozmiar po dekodowaniu, nagłówki multipart, części i zagnieżdżenie; post_max_size nie wystarczy.
2. Zainstaluj poprawioną kompilację
Pierwsze wersje: 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Wybierz wspieraną gałąź i zgodne rozszerzenia. Testuj aplikacje i zdrowie usług. Używaj PHP lub właściwego dostawcy. WAF i aktualizacja CMS nie naprawiają interpretera.
| Gałąź PHP | Wersje źródłowe poniżej | Pierwsza poprawiona wersja | Koniec wsparcia bezpieczeństwa |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 gru 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 gru 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 gru 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 gru 2026 |
Brak regularnego wydania PHP dla tych gałęzi. Minimalne backporty źródeł są dostępne dla 7.4, 8.0 i 8.1. Wsparcie dostawcy sprawdź osobno. Czytaj poradnik ↗