A PHP két kritikus, hitelesítés nélküli távoli kódfuttatást lehetővé tevő hibát javított a 8.5.12, 8.4.27, 8.3.36 és 8.2.35 kiadásokban. A veszély különösen a mod_php-t használó szervereket érinti: a hibák egyike alkalmazáskód futtatása nélkül is kihasználható.
- A CVE-2026-109618 és a CVE-2026-109619 CVSS 4.0 szerint egyaránt 9,2 pontos; a hibák a PHP-értelmezőben, nem egy CMS-ben találhatók.
- Az első hiba memóriahiánynál (OOM) keletkezik: a leállítási eljárás részben inicializált memóriát kezel érvényesként. A támadás speciálisan kialakított, post_max_size alatti multipart kéréssel váltható ki.
- A második hiba felszabadítás utáni memóriahasználat: egy végzetes hiba után egy globális mező felszabadított memóriára mutathat. Kiválthatja a PHP 8.5 fatal_error_backtraces beállítása vagy az alapértelmezésben engedélyezett feltöltési folyamatkövetés; utóbbihoz session_start() sem kell.
- A mod_php-s Apache különösen kitetett, mert a kérés leállítása már a kéréstörzs feldolgozásakor lefuthat; a PHP alapértelmezett korlátaival teljes kódfuttatást is igazoltak. A FrankenPHP hasonlóan viselkedhet, az LSAPI pedig bizonyos feltételek mellett lehet érintett.
- A PHP-FPM leállítja a sikertelenül induló gyermekfolyamatot, ami az első közvetlen kihasználási módot meggátolja. A második hiba ugyanakkor megfelelő alkalmazásművelettel hagyományos FPM-folyamatkészlet ellen is kihasználható lehet.
- A Wiz Research augusztus 24-én jelentette a hibákat; közlése szerint a Gemini 4 Argon és a GPT-5.6 Sol a feltárásban, a kihasználó kód fejlesztésében és a javítás ellenőrzésében is segített.
- A watchTowr aktív kihasználási kísérleteket észlel, a Cloudflare pedig korai támadásokról számolt be még a javítás előtt, de sikeres behatolást nem erősítettek meg. Elővigyázatosságból holland kormányzati szolgáltatásokat is leállítottak; az Egyesült Királyság NCSC-je szükség esetén a javítatlan rendszerek hálózati leválasztását javasolja.
- A teljes megoldás a frissítés; a disztribúciók visszaportolt javításainál a változásnaplóban a CVE-azonosítókat érdemes keresni. A már nem támogatott 7.4-es, 8.0-s és 8.1-es ágak csak korlátozott forráskódszintű visszaportolást kapnak. Átmenetileg a memory_limit=-1, a session.upload_progress.enabled=0 és PHP 8.5-nél a fatal_error_backtraces=0 beállítása, majd a folyamatok újraindítása mérsékelheti a kockázatot, de nem nyújt teljes védelmet.
