Пошкодження через нестачу пам’яті
CVE-2026-109618 стосується раннього виходу при OOM із частково ініціалізованою пам’яттю, використаною при очищенні. Патч додає м’яку й жорстку обробку пам’яті. Повний RCE підтверджено на mod_php. FPM вважається вразливим до прикладних шляхів, без повного експлойта цієї CVE.
Чи FPM не зачеплено?
Ні. FPM завершує дочірній процес після невдалого старту запиту, блокуючи деякі початкові послідовності. Прикладні й міжзапитні шляхи залишаються. Демонстрація mod_php не означає однакову експлуатацію всюди, але FPM не скасовує оновлення.
Обережно з пам’яттю
memory_limit=-1 прибирає частину контрольованих OOM PHP, не збої системного виділення. Потрібні окремі ліміти контейнера чи cgroup. Не використовуйте RLIMIT_AS і RLIMIT_DATA. Обмежте декодований розмір, multipart-заголовки, частини й вкладеність; post_max_size недостатньо.
2. Встановіть виправлену збірку
Перші версії: 8.2.35, 8.3.36, 8.4.27 та 8.5.12. Оберіть підтримувану гілку й сумісні розширення. Тестуйте застосунки та здоров’я сервісів. Використовуйте PHP або відповідального постачальника. WAF і CMS не виправляють інтерпретатор.
| Гілка PHP | Вихідні версії нижче | Перша виправлена версія | Кінець оновлень безпеки |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 груд. 2029 р. |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 груд. 2028 р. |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 груд. 2027 р. |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 груд. 2026 р. |
Звичайних випусків PHP для цих гілок немає. Мінімальні бекпорти коду доступні для 7.4, 8.0 і 8.1. Підтримку постачальника перевіряйте окремо. Читати посібник ↗