Повреждение при нехватке памяти
CVE-2026-109618 связан с ранним выходом при OOM: частично инициализированная память используется при очистке. Патч вводит мягкую и жёсткую обработку памяти. Полный RCE подтверждён на mod_php. FPM считается подверженным прикладным путям, но полный эксплойт для этой CVE не заявлен.
FPM не затронут?
Нет. FPM завершает дочерний процесс при неудачном старте запроса, блокируя некоторые стартовые последовательности. Прикладные и межзапросные пути остаются. Демонстрация mod_php не означает одинаковые условия повсюду; FPM также не отменяет обновление.
Осторожно с памятью
memory_limit=-1 убирает лишь управляемый OOM лимита PHP, но не сбои системного выделения. Нужны отдельные ограничения контейнера или cgroup. Не используйте RLIMIT_AS и RLIMIT_DATA. Ограничьте декодированный размер, multipart-заголовки, части и вложенность; post_max_size недостаточно.
2. Установите исправленную сборку
Первые исправления: 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Выберите поддерживаемую ветку и совместимые расширения. Проверьте приложение и healthcheck. Используйте доверенный PHP или канал поставщика. WAF и обновление CMS интерпретатор не исправляют.
| Ветка PHP | Исходные версии ниже | Первая исправленная версия | Конец обновлений безопасности |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 дек. 2029 г. |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 дек. 2028 г. |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 дек. 2027 г. |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 дек. 2026 г. |
Обычных выпусков PHP для этих веток нет. Минимальные бэкпорты исходников доступны для 7.4, 8.0 и 8.1. Поддержку поставщика проверяйте отдельно. Читать руководство ↗