Corrupção por falta de memória
CVE-2026-109618 envolve saída antecipada por OOM, deixando memória parcialmente inicializada para a limpeza. O patch introduz tratamento suave e rígido de memória. RCE completa foi confirmada no mod_php. FPM é considerado suscetível a caminhos de aplicação, sem exploração completa demonstrada para esta CVE.
FPM está isento?
Não. FPM encerra o filho quando a inicialização da requisição falha, bloqueando algumas sequências iniciais. Caminhos de aplicação e entre requisições permanecem. A demonstração mod_php não prova exploração idêntica em todo ambiente; usar FPM também não dispensa o patch.
Cuidado com memória
memory_limit=-1 remove certos OOM controláveis pelo limite PHP; falhas de alocação do sistema permanecem. Use contenção independente por contêiner ou cgroup. Não use RLIMIT_AS ou RLIMIT_DATA. Limite tamanho decodificado, cabeçalhos multipart, partes e aninhamento; post_max_size sozinho não basta.
2. Instale a compilação corrigida
Primeiros lançamentos: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Escolha uma ramificação com suporte e extensões compatíveis. Teste aplicações e verificações de saúde. Use fontes oficiais ou do fornecedor responsável. WAF e atualização do CMS não corrigem o interpretador.
| Ramificação PHP | Versões originais inferiores a | Primeira versão corrigida | Fim do suporte de segurança |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 de dez. de 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 de dez. de 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 de dez. de 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 de dez. de 2026 |
Não há lançamento regular do PHP para essas ramificações. Existem backports mínimos de código-fonte para 7.4, 8.0 e 8.1. Verifique o suporte do fornecedor separadamente. Ler guia ↗