Критические уязвимости PHP CVE-2026-109618 и CVE-2026-109619
21 октября 2026 года разработчики PHP выпустили исправления двух критических уязвимостей, позволяющих при определённых условиях выполнить код удалённо без аутентификации.
CVE-2026-109618 связана с обработкой нехватки памяти: прерывание запроса может оставить внутренние структуры PHP частично инициализированными. Последующая очистка обращается к некорректным данным, что открывает возможность удаленного выполнения кода.
CVE-2026-109619 связана с сохранением ссылок на память завершённого запроса в глобальном состоянии рабочего процесса. При обработке следующего запроса обращение к уже освобождённой памяти приводит к use-after-free и может позволить выполнить код. Условия эксплуатации зависят от конфигурации PHP, расширений и приложения.
Под угрозой находятся установки PHP, обслуживающие веб-запросы, включая PHP-FPM, mod_php, php-cgi и LiteSpeed.
| Ветка PHP | Уязвимые версии без дополнительных патчей | Выпуск с исправлениями |
|---|---|---|
| 8.2 | До 8.2.34 включительно | 8.2.35 |
| 8.3 | До 8.3.35 включительно | 8.3.36 |
| 8.4 | До 8.4.26 включительно | 8.4.27 |
| 8.5 | До 8.5.11 включительно | 8.5.12 |
Старые ветки PHP также затронуты. Для PHP 7.4, 8.0 и 8.1 команда PHP подготовила исправления исходного кода, хотя регулярная поддержка этих веток уже завершена. Наличие защиты в старых сборках необходимо проверять у поставщика: исправление может быть установлено без изменения базового номера версии.
Команда Хостинга Украина в течение суток после публикации информации об уязвимостях обновила PHP версий 7.4–8.5, установив исправления обеих проблем.
Администраторам VPS и выделенных серверов рекомендуем как можно скорей обновить PHP до последних версий.
UPD: Версии PHP 7.1–7.3 пересобраны с исправлениями и обновлены на серверах. Версии PHP 5.6-7.0 будут обновлены сразу после появления соответствующих исправлений в их коде — на текущий момент конкретные сроки по ним не известны.
UPD: Версии PHP 5.4–7.0 пересобраны и обновлены на серверах.