CVE-2024-11235

Reference counting in php_request_shutdown causes Use-After-Free

CVSS 3.1Critical

9.2/ 10.0

Опубликовано

4 апреля 2025 г.

Обновлено

26 февраля 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 8.4.5, 8.3.19

Обновить интерпретатор до релизов PHP 8.3.19 или PHP 8.4.5 соответственно.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Ошибка подсчета ссылок в функции php_request_shutdown вызывает Use-After-Free с возможностью RCE.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В PHP веток 8.3 (до 8.3.19) и 8.4 (до 8.4.5) логическая ошибка в механизме подсчета ссылок при вызове magic-метода __set или оператора ??= совместно с выбросом исключений повреждает указатели памяти во время завершения запроса.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Повреждение структур кучи, крах процесса PHP (DoS) и выполнение произвольного кода (RCE) при контроле атакующим расположения объектов в памяти через входные данные.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

PHP GroupPHP

>= 8.4.*➔Fix: 8.4.5

PHP GroupPHP

>= 8.3.*➔Fix: 8.3.19

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

github.comhttps://github.com/php/php-src/security/advisories/GHSA-rwp7-7vc6-8477

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2024-11235: Reference counting in php_request_shutdown causes Use-After-Free. URL: https://cve.futuretools.ru/cve/CVE-2024-11235

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2024_11235,
  title = {{CVE-2024-11235: Reference counting in php_request_shutdown causes Use-After-Free}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2024-11235}},
  note = {Оперативный инженерный анализ киберугроз}
}