CVE-2026-109619
PHP
О чём речь
PHP может продолжать использовать память после её освобождения. При обработке следующих запросов эти устаревшие данные могут позволить злоумышленнику запустить свою программу на сервере.
Чем навредит
Злоумышленник может запустить свою программу на сервере через сеть, без входа в систему и без действий со стороны пользователя. Для атаки нужно выполнить сложные условия; какие именно, не указано.
Насколько срочно
Эту уязвимость уже используют в атаках. Обновите PHP как можно скорее: ошибка позволяет злоумышленнику запустить свою программу на сервере.
Кого касается
Затронуты версии PHP: 8.2.* до 8.2.35, 8.3.* до 8.3.36, 8.4.* до 8.4.27 и 8.5.* до 8.5.12. Указанные граничные версии уже содержат исправление.
Что сделать
Обновите PHP до исправленной версии своей ветки: 8.2.35 для 8.2.*, 8.3.36 для 8.3.*, 8.4.27 для 8.4.* или 8.5.12 для 8.5.*.
Как проверить у себя
Посмотрите установленную версию PHP в сведениях о программном обеспечении сервера и сравните её со списками затронутых и исправленных версий в уведомлении PHP Group.
Подробности для специалистов
- CVE
- CVE-2026-109619
- Опубликована
- 21 октября 2026
- CWE
- CWE-416
- CVSS
- 9.2
- CVSS vector
- CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- EPSS
- 6,0 % — вероятность попытки атаки в ближайшие 30 дней
- Признаки атак
- замечены атаки; публичный эксплойт на GitHub; шаблон Nuclei
CVSS — техническая тяжесть по шкале до 10. Условия атаки и срочность описаны выше.
EPSS — оценка вероятности попытки атаки в ближайшие 30 дней, а не вероятность взлома вашего сервера.