CVE-2026-109618

Nome do Software Vulnerável e Versões Afetadas PHP versões anteriores a 8.5.12 PHP versões anteriores a 8.4.27 PHP versões anteriores a 8.3.36 PHP versões anteriores a 8.2.35

Description O PHP utiliza a função longjmp() para erros de falta de memória (OOM), com o objetivo de sair do contexto atual e abortar a gestão da solicitação. Em alguns contextos, a memória da solicitação pode estar temporariamente acessível antes de ser totalmente inicializada. Se ocorrer uma falha de alocação nesse ponto, o PHP pode deixar a memória da solicitação em um estado não inicializado ou inválido. O procedimento posterior de limpeza da solicitação pode ler ou realizar um desvio nessa memória, o que pode ser desencadeado sistematicamente para permitir a execução remota de código (RCE). Este problema afeta especificamente o componente session.upload progress e pode ser explorado através do envio de uma solicitação POST especialmente formulada. Em ambientes que utilizam Apache com mod php, isso pode levar à chamada da função system().

Recommendations Atualizar para as versões do PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Desativar o recurso session.upload progress. Configurar memory limit como -1 e garantir que a aplicação não possa sobrescrever esta configuração. Reduzir o valor de post max size. No PHP 8.5, desativar fatal error backtraces.