Pozostały stan między żądaniami
CVE-2026-109619 pozostawia odwołania do zwolnionej pamięci. Kolejne żądanie do tego samego workera może ich użyć przed inicjalizacją. Potwierdzono ścieżki fatal backtrace PHP 8.5 i postępu wysyłania sesji. RCE zweryfikowano dla mod_php i odpowiedniej ścieżki FPM.
Czy FPM jest wyłączony?
Nie. FPM kończy proces potomny po nieudanym starcie żądania, blokując część sekwencji. Ścieżki aplikacyjne i między żądaniami pozostają. Demonstracja mod_php nie oznacza identycznej eksploatacji wszędzie, lecz FPM nie zwalnia z aktualizacji.
Postęp wysyłania i backtrace
Ustaw session.upload_progress.enabled=0 przed parsowaniem i zrestartuj. PHP 8.5 fatal_error_backtraces=0 blokuje tylko potwierdzoną ścieżkę. Usuń błędne wczesne ustawienia INI. display_errors, error_reporting i @ nie eliminują błędu. Żadne ustawienie nie obejmuje wszystkich wariantów.
2. Zainstaluj poprawioną kompilację
Pierwsze wersje: 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Wybierz wspieraną gałąź i zgodne rozszerzenia. Testuj aplikacje i zdrowie usług. Używaj PHP lub właściwego dostawcy. WAF i aktualizacja CMS nie naprawiają interpretera.
| Gałąź PHP | Wersje źródłowe poniżej | Pierwsza poprawiona wersja | Koniec wsparcia bezpieczeństwa |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 gru 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 gru 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 gru 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 gru 2026 |
Brak regularnego wydania PHP dla tych gałęzi. Minimalne backporty źródeł są dostępne dla 7.4, 8.0 i 8.1. Wsparcie dostawcy sprawdź osobno. Czytaj poradnik ↗