Ранее сегодня проект PHP выпустил версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Эти релизы устраняют две критические уязвимости, которые при определённых условиях позволяют неаутентифицированному злоумышленнику выполнить код на серверах, работающих под PHP. Всем, кто использует PHP, настоятельно рекомендуется немедленно обновиться. Официальное объявление на php.net содержит технические подробности и инструкции по обновлению.
Первая уязвимость, CVE-2026-109618, связана с ситуациями нехватки памяти (OOM). Если запрос достигает предела memory_limit в PHP в неподходящий момент, PHP может оставить частично инициализированные внутренние данные, которые затем воспринимаются как корректные, что приводит к повреждению памяти. В Apache с mod_php неаутентифицированный запрос может вызвать это до выполнения какого-либо кода приложения, а полное удалённое выполнение кода было продемонстрировано при настройках по умолчанию. Вторая, CVE-2026-109619, — проблема устаревшего состояния: фатальная ошибка может оставить внутреннее состояние указывающим на память предыдущего запроса, что позволяет использовать освобождённую память (use-after-free). Это было продемонстрировано на реальном приложении.
Оба дефекта находятся в ключевых областях PHP, которых касается почти каждый запрос: управление памятью и обработка ошибок. Именно эта центральная роль сделала их серьёзными, но и трудноустранимыми без нарушения совместимости, ухудшения производительности или необходимости менять обширную экосистему сторонних расширений.
Проблема OOM впервые была выявлена во время внешнего аудита безопасности в 2024 году, который финансировал PHP Foundation и проводила компания Quarkslab. Исправление застопорилось на несколько месяцев, пока команда безопасности взвешивала конкурирующие подходы, каждый из которых имел свои компромиссы. Команда признаёт, что задержка стала структурным сбоем, и меняет процесс принятия решений, включая голосование большинством. В мае 2026 года PHP Foundation также создала Ecosystem Security Team для поддержки сортировки угроз, координации и усиления защиты.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing