Критичні вразливості PHP CVE-2026-109618 та CVE-2026-109619
У жовтні 2026 року розробники PHP випустили виправлення двох критичних вразливостей, які за певних умов дають змогу виконати код віддалено без аутентифікації.
CVE-2026-109618 пов’язана з обробкою нестачі пам’яті: переривання запиту може призвести до того, що внутрішні структури PHP залишаться частково ініціалізованими. Під час подальшого очищення звертаються до некоректних даних, що відкриває можливість віддаленого виконання коду.
CVE-2026-109619 пов’язана із збереженням посилань на пам’ять завершеного запиту в глобальному стані робочого процесу. Під час обробки наступного запиту звернення до вже звільненої пам’яті призводить до use-after-free і може дозволити виконати код. Умови експлуатації залежать від конфігурації PHP, розширень та застосунку.
Під загрозою перебувають установки PHP, що обслуговують веб-запити, зокрема PHP-FPM, mod_php, php-cgi та LiteSpeed.
| Гілка PHP | Вразливі версії без додаткових виправлень | Випуск із виправленнями |
|---|---|---|
| 8.2 | До 8.2.34 включно | 8.2.35 |
| 8.3 | До 8.3.35 включно | 8.3.36 |
| 8.4 | До 8.4.26 включно | 8.4.27 |
| 8.5 | До 8.5.11 включно | 8.5.12 |
Це також стосується старих гілок PHP. Для PHP 7.4, 8.0 та 8.1 команда PHP підготувала виправлення вихідного коду, хоча регулярна підтримка цих гілок уже завершена. Наявність захисту в старих збірках слід перевіряти у постачальника: виправлення може бути встановлено без зміни базового номера версії.
Команда Хостинг Україна протягом доби після оприлюднення інформації про вразливості оновила PHP версій 7.4–8.5, встановивши виправлення обох проблем.
Адміністраторам VPS та виділених серверів рекомендуємо якомога швидше оновити PHP до останніх версій.
UPD: Версії PHP 7.1–7.3 перезібрані з виправленнями та оновлені на серверах. Версії PHP 5.6–7.0 будуть оновлені одразу після появи відповідних виправлень у їхньому коді — на даний момент конкретні терміни щодо них невідомі.
UPD: Версії PHP 5.4–7.0 перезібрані та оновлені на серверах.