Залишковий стан між запитами
CVE-2026-109619 залишає посилання на звільнену пам’ять запиту. Наступний запит тому самому worker може використати їх до ініціалізації. Підтверджені шляхи fatal backtrace PHP 8.5 і прогресу завантаження сесії. RCE перевірено для mod_php та відповідного прикладного шляху FPM.
Чи FPM не зачеплено?
Ні. FPM завершує дочірній процес після невдалого старту запиту, блокуючи деякі початкові послідовності. Прикладні й міжзапитні шляхи залишаються. Демонстрація mod_php не означає однакову експлуатацію всюди, але FPM не скасовує оновлення.
Прогрес і backtrace
Задайте session.upload_progress.enabled=0 до розбору та перезапустіть. У PHP 8.5 fatal_error_backtraces=0 блокує лише підтверджений шлях. Усуньте хибні ранні INI-параметри. display_errors, error_reporting та @ не блокують помилку. Жодне налаштування не покриває все.
2. Встановіть виправлену збірку
Перші версії: 8.2.35, 8.3.36, 8.4.27 та 8.5.12. Оберіть підтримувану гілку й сумісні розширення. Тестуйте застосунки та здоров’я сервісів. Використовуйте PHP або відповідального постачальника. WAF і CMS не виправляють інтерпретатор.
| Гілка PHP | Вихідні версії нижче | Перша виправлена версія | Кінець оновлень безпеки |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 груд. 2029 р. |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 груд. 2028 р. |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 груд. 2027 р. |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 груд. 2026 р. |
Звичайних випусків PHP для цих гілок немає. Мінімальні бекпорти коду доступні для 7.4, 8.0 і 8.1. Підтримку постачальника перевіряйте окремо. Читати посібник ↗