CVE-2026-109619

Nome do Software Vulnerável e Versões Afetadas PHP (versões afetadas não especificadas)

Description O PHP apresenta uma falha de use-after-free onde o estado global, o tratamento de erros, objetos e o estado de extensões podem não ser resetados corretamente ou podem ser repopulados após o reset. Isso ocorre porque alguns estados apontam para a memória de uma única solicitação; se um erro fatal interromper a fase de limpeza ou se o processo utilizar longjmp() para erros de falta de memória (OOM) para abortar o processamento da solicitação, o estado global pode referenciar a memória após ela ter sido liberada. Solicitações subsequentes podem ler ou tomar decisões com base nesse estado obsoleto antes de ser totalmente inicializado. Um invasor remoto não autenticado pode explorar essa condição, especificamente através do componente session.upload progress ou enviando uma solicitação POST especialmente formatada, para alcançar a execução remota de código (RCE). Este problema afeta o mod php e afeta condicionalmente o FPM através de caminhos de estágio de aplicação.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.