Bellek yetersizliği bozulması
CVE-2026-109618, OOM erken çıkışından sonra kısmen başlatılmış belleğin temizlikte kullanılmasıdır. Yama yeni yumuşak ve sert bellek yönetimi getirir. Tam RCE mod_php’de doğrulandı. FPM uygulamaya bağlı yollarla hassas kabul edilir, ancak bu CVE için tam FPM istismarı gösterilmedi.
FPM muaf mı?
Hayır. FPM istek başlangıcı başarısızsa alt süreci sonlandırır ve bazı başlangıç dizilerini engeller. Uygulama ve istekler arası yollar kalır. Her ortam mod_php ile aynı değildir; FPM de yama gerektirir.
Bellek ayarlarına dikkat
memory_limit=-1 bazı kontrol edilebilir PHP OOM yollarını kaldırır, sistem tahsis hatalarını değil. Ayrı konteyner veya cgroup sınırı gerekir. RLIMIT_AS ve RLIMIT_DATA kullanmayın. Çözülmüş boyut, multipart başlıkları, parçalar ve derinliği sınırlayın; post_max_size yetmez.
2. Yamalı derleme kurun
İlk sürümler 8.2.35, 8.3.36, 8.4.27 ve 8.5.12’dir. Desteklenen dal ve uyumlu eklentiler seçin. Uygulama ve sağlık kontrolünü test edin. PHP veya sorumlu sağlayıcıdan alın. WAF ve CMS güncellemesi yorumlayıcıyı düzeltmez.
| PHP dalı | Bu sürümün altındaki özgün sürümler | İlk düzeltilen sürüm | Güvenlik desteği sonu |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 Ara 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 Ara 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 Ara 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 Ara 2026 |
Bu dallar için normal PHP sürümü yoktur. 7.4, 8.0 ve 8.1 için asgari kaynak yamaları vardır. Sağlayıcı desteğini ayrıca doğrulayın. Rehberi oku ↗