CVE-2026-109618

Nome do Software Vulnerável e Versões Afetadas PHP versões anteriores a 8.5.12 PHP versões anteriores a 8.4.27 PHP versões anteriores a 8.3.36 PHP versões anteriores a 8.2.35

Description Um problema de corrupção de memória do tipo use-after-free existe no núcleo do interpretador PHP, especificamente no componente session.upload progress. A falha ocorre durante a análise da requisição quando o PHP registra o estado como pronto antes que todas as alocações de memória sejam concluídas. Se uma alocação falhar devido a erros de falta de memória (OOM), a função longjmp() é usada para abortar a requisição, mas alguns contextos não revertem adequadamente o estado incompleto, deixando a memória da requisição não inicializada. Procedimentos de limpeza subsequentes podem ler ou ramificar essa memória. Um invasor remoto não autenticado pode explorar isso enviando requisições HTTP POST especialmente formuladas para alcançar a execução remota de código (RCE). A exploração no mundo real foi observada em sistemas usando Apache mod php, onde invasores usaram uma cadeia HTTP de quatro estágios envolvendo exaustão de memória e divulgação de informações via cabeçalho PHPSESSID para ignorar o ASLR e executar comandos de shell como /bin/sh.

Recommendations Atualizar para as versões do PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, respectivamente. Desativar o recurso session.upload progress. Configurar memory limit como -1 e garantir que a aplicação não possa sobrescrever essa configuração. Reduzir o valor de post max size. No PHP 8.5, desativar fatal error backtraces.