CVE-2026-109618
PHP
О чём речь
PHP может неправильно обрабатывать память после того, как при обработке запроса закончится место для данных. При последующей очистке программа может использовать ещё не подготовленные участки памяти.
Чем навредит
Злоумышленник может через сеть запустить свою программу на сервере без входа и без участия других людей. Атака технически сложна и требует дополнительных условий, которые не уточнены.
Насколько срочно
Эту уязвимость уже используют в атаках. Обновите PHP как можно скорее: ошибка позволяет злоумышленнику запустить свою программу на сервере.
Кого касается
Затронуты PHP 8.2.* до 8.2.35, PHP 8.3.* до 8.3.36, PHP 8.4.* до 8.4.27 и PHP 8.5.* до 8.5.12. Указанные граничные версии уже содержат исправление.
Что сделать
Обновите установленную ветку PHP: 8.2.* до 8.2.35, 8.3.* до 8.3.36, 8.4.* до 8.4.27 или 8.5.* до 8.5.12. Рекомендации по снижению риска смотрите в уведомлении PHP Group.
Как проверить у себя
Узнайте установленную версию PHP и сравните её со списками затронутых и исправленных версий в уведомлении PHP Group.
Подробности для специалистов
- CVE
- CVE-2026-109618
- Опубликована
- 21 октября 2026
- CWE
- CWE-416
- CVSS
- 9.2
- CVSS vector
- CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- EPSS
- 11,6 % — вероятность попытки атаки в ближайшие 30 дней
- Признаки атак
- замечены атаки; есть публичный эксплойт; публичный эксплойт на GitHub; шаблон Nuclei
CVSS — техническая тяжесть по шкале до 10. Условия атаки и срочность описаны выше.
EPSS — оценка вероятности попытки атаки в ближайшие 30 дней, а не вероятность взлома вашего сервера.