Hỏng bộ nhớ do OOM
CVE-2026-109618 liên quan thoát sớm khi hết bộ nhớ, để dữ liệu khởi tạo dở bị dùng lúc dọn dẹp. Bản vá thay bằng cơ chế bộ nhớ mềm và cứng. RCE đầy đủ được xác nhận trên mod_php. FPM có đường phụ thuộc ứng dụng, chưa có khai thác FPM đầy đủ cho CVE này.
FPM có được miễn không?
Không. FPM dừng tiến trình con khi khởi động yêu cầu thất bại, chặn một số chuỗi ban đầu. Các đường trong ứng dụng và giữa yêu cầu vẫn còn. Không phải mọi môi trường giống mod_php, nhưng FPM vẫn cần vá.
Thận trọng với bộ nhớ
memory_limit=-1 chỉ giảm OOM do giới hạn PHP, không ngăn lỗi cấp phát OS. Cần giới hạn container hoặc cgroup độc lập. Không dùng RLIMIT_AS hay RLIMIT_DATA. Giới hạn kích thước đã giải mã, header multipart, phần và độ sâu; post_max_size không đủ.
2. Cài bản dựng đã vá
Bản đầu tiên: 8.2.35, 8.3.36, 8.4.27 và 8.5.12. Chọn nhánh được hỗ trợ cùng phần mở rộng tương thích. Thử ứng dụng và kiểm tra sức khỏe. Dùng PHP hoặc nhà cung cấp chịu trách nhiệm. WAF và cập nhật CMS không vá trình thông dịch.
| Nhánh PHP | Phiên bản gốc thấp hơn | Bản vá đầu tiên | Kết thúc hỗ trợ bảo mật |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 thg 12, 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 thg 12, 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 thg 12, 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 thg 12, 2026 |
Các nhánh này không có bản phát hành PHP thường lệ. Có backport nguồn tối thiểu cho 7.4, 8.0 và 8.1; cần xác minh hỗ trợ nhà cung cấp riêng. Đọc hướng dẫn ↗