Trạng thái cũ giữa các yêu cầu
CVE-2026-109619 giữ tham chiếu đến bộ nhớ đã giải phóng. Yêu cầu kế tiếp vào cùng worker có thể dùng trước khởi tạo. Đã xác nhận backtrace lỗi nghiêm trọng PHP 8.5 và tiến trình tải lên phiên. RCE được kiểm chứng trên mod_php và đường ứng dụng thích hợp của FPM.
FPM có được miễn không?
Không. FPM dừng tiến trình con khi khởi động yêu cầu thất bại, chặn một số chuỗi ban đầu. Các đường trong ứng dụng và giữa yêu cầu vẫn còn. Không phải mọi môi trường giống mod_php, nhưng FPM vẫn cần vá.
Tiến trình tải lên và backtrace
Đặt session.upload_progress.enabled=0 trước phân tích và khởi động lại. PHP 8.5 fatal_error_backtraces=0 chỉ chặn đường đã xác nhận. Gỡ INI sớm sai gây chẩn đoán. display_errors, error_reporting và @ không ngăn lỗi. Không cấu hình nào bao phủ mọi biến thể.
2. Cài bản dựng đã vá
Bản đầu tiên: 8.2.35, 8.3.36, 8.4.27 và 8.5.12. Chọn nhánh được hỗ trợ cùng phần mở rộng tương thích. Thử ứng dụng và kiểm tra sức khỏe. Dùng PHP hoặc nhà cung cấp chịu trách nhiệm. WAF và cập nhật CMS không vá trình thông dịch.
| Nhánh PHP | Phiên bản gốc thấp hơn | Bản vá đầu tiên | Kết thúc hỗ trợ bảo mật |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 thg 12, 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 thg 12, 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 thg 12, 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 thg 12, 2026 |
Các nhánh này không có bản phát hành PHP thường lệ. Có backport nguồn tối thiểu cho 7.4, 8.0 và 8.1; cần xác minh hỗ trợ nhà cung cấp riêng. Đọc hướng dẫn ↗