Остаточное состояние между запросами
CVE-2026-109619 оставляет ссылки на освобождённую память запроса. Следующий запрос тому же worker может использовать их до инициализации. Подтверждены пути через fatal backtrace PHP 8.5 и прогресс загрузки сессии. RCE проверен для mod_php и подходящего прикладного пути FPM.
FPM не затронут?
Нет. FPM завершает дочерний процесс при неудачном старте запроса, блокируя некоторые стартовые последовательности. Прикладные и межзапросные пути остаются. Демонстрация mod_php не означает одинаковые условия повсюду; FPM также не отменяет обновление.
Загрузка и backtrace
Установите session.upload_progress.enabled=0 до разбора и перезапустите worker. Для PHP 8.5 fatal_error_backtraces=0 закрывает лишь подтверждённый путь. Уберите ошибочные ранние INI-настройки. display_errors, error_reporting и @ не устраняют ошибку. Все варианты настройками не покрываются.
2. Установите исправленную сборку
Первые исправления: 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Выберите поддерживаемую ветку и совместимые расширения. Проверьте приложение и healthcheck. Используйте доверенный PHP или канал поставщика. WAF и обновление CMS интерпретатор не исправляют.
| Ветка PHP | Исходные версии ниже | Первая исправленная версия | Конец обновлений безопасности |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 дек. 2029 г. |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 дек. 2028 г. |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 дек. 2027 г. |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 дек. 2026 г. |
Обычных выпусков PHP для этих веток нет. Минимальные бэкпорты исходников доступны для 7.4, 8.0 и 8.1. Поддержку поставщика проверяйте отдельно. Читать руководство ↗