Estado residual entre requisições
CVE-2026-109619 preserva referências a memória já liberada. Outra requisição no mesmo worker pode usá-las antes da inicialização. Caminhos confirmados envolvem backtraces fatais do PHP 8.5 e progresso de upload da sessão. RCE foi validada no mod_php e FPM com um caminho de aplicação adequado.
FPM está isento?
Não. FPM encerra o filho quando a inicialização da requisição falha, bloqueando algumas sequências iniciais. Caminhos de aplicação e entre requisições permanecem. A demonstração mod_php não prova exploração idêntica em todo ambiente; usar FPM também não dispensa o patch.
Progresso de upload e backtraces
Aplique session.upload_progress.enabled=0 antes da análise e reinicie. No PHP 8.5, fatal_error_backtraces=0 bloqueia somente o caminho confirmado. Remova configurações inválidas por requisição que geram diagnósticos precoces. display_errors, error_reporting e @ não impedem a falha. Nenhuma configuração cobre tudo.
2. Instale a compilação corrigida
Primeiros lançamentos: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Escolha uma ramificação com suporte e extensões compatíveis. Teste aplicações e verificações de saúde. Use fontes oficiais ou do fornecedor responsável. WAF e atualização do CMS não corrigem o interpretador.
| Ramificação PHP | Versões originais inferiores a | Primeira versão corrigida | Fim do suporte de segurança |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 de dez. de 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 de dez. de 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 de dez. de 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 de dez. de 2026 |
Não há lançamento regular do PHP para essas ramificações. Existem backports mínimos de código-fonte para 7.4, 8.0 e 8.1. Verifique o suporte do fornecedor separadamente. Ler guia ↗