Michael Johnson21 жовтня 2026 року PHP оголосив про дві критичні вразливості, які можуть дозволити віддалене виконання коду без автентифікації. Того самого дня проєкт випустив виправлення для гілок 8.5, 8.4, 8.3 і 8.2 та рекомендував користувачам оновитися без зволікань. Уразливими можуть бути інсталяції, що обслуговують вебзапити, зокрема PHP-FPM, Apache mod_php, php-cgi, FrankenPHP і LiteSpeed, повідомляє PHP.
Виправлені версії — PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35. Релізи усувають CVE-2026-109618, пов’язану з пошкодженням стану через нестачу пам’яті, і CVE-2026-109619 — помилку, через яку стан одного запиту міг зберегтися в робочому процесі й використовуватися під час обробки наступного. Уражені версії, нижчі за перелічені; для PHP 8.1 і старіших гілок проєкт більше не випускає власних оновлень, тож адміністраторам таких систем слід перевірити наявність виправлень у постачальника дистрибутива або LTS-підтримки.
Дві помилки в життєвому циклі вебзапиту
У випадку CVE-2026-109618 обробка запиту може перерватися через нестачу пам’яті, доки внутрішні дані ще не пройшли повну ініціалізацію. Під час завершення PHP може звернутися до некоректного стану. В advisory розробники описують, зокрема, сценарії з multipart-запитами та вичерпанням ліміту пам’яті. Для Apache mod_php підтверджено сценарій, за якого проблема виникає ще до запуску коду застосунку; PHP також зазначає, що ризик для цієї конфігурації вищий.
CVE-2026-109619 стосується стану, який робочий процес зберігає між запитами. Якщо операція завершується помилкою до очищення даних, пам’ять попереднього запиту звільняється, але посилання на неї залишається. Наступний запит, що потрапить у той самий процес, може звернутися до застарілого стану до звичайної ініціалізації. В advisory проєкту PHP описує підтверджені шляхи через ранні діагностичні операції та обробку перебігу завантаження файлів; застосовність конкретного шляху залежить від конфігурації, застосунку та використовуваних розширень.
Обидві вразливості отримали оцінку 9,2 за CVSS 4.0. За даними PHP, підтверджений вплив включає виконання коду з привілеями вебворкера. В advisory щодо помилки нестачі пам’яті підтверджено повноцінний HTTP-сценарій проти mod_php; для PHP-FPM джерело описує аналіз коду й умови вразливості, тому під час оцінювання конкретного розгортання важливо розрізняти ці дані.
Що перевірити адміністраторам
Спочатку визначте версії PHP, які фактично обслуговують вебтрафік: на одному сервері можуть працювати окремі збірки CLI, FPM і Apache, а контейнери та вузли кластера оновлюються незалежно. Для кожної гілки з підтримкою встановіть відповідний виправлений реліз або пакет постачальника з підтвердженим патчем. Потім перезапустіть усі PHP-воркери й перевірте їхню версію після перезапуску — заміна файлів без перезапуску залишає старі процеси активними.
Для PHP 8.1 і старіших версій перевірте статус підтримки та наявність зворотного виправлення від дистрибутива або LTS-провайдера. Якщо такого пакета немає, заплануйте перехід на підтримувану гілку. PHP зазначає, що постачальники дистрибутивів Linux отримали патчі заздалегідь; номер версії їхнього пакета може відрізнятися від офіційного релізу PHP, тому звіряйте саме інформацію про включене виправлення.
Тимчасові налаштування та фільтрація запитів можуть обмежити окремі шляхи атаки, але проєкт називає оновлення єдиним повним способом усунути обидві проблеми. Практичний пріоритет для команд — інвентаризація всіх вебворкерів, установлення виправленого пакета, перезапуск процесів і перевірка результату на кожному вузлі. Саме це усуває підтверджені вразливості, а не покладання лише на конфігурацію вебсервера.