CVE-2026-109619

RCE via stale global state

CVSS 3.1Critical

9.2/ 10.0

Опубликовано

21 октября 2026 г.

Обновлено

21 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 8.2.35, 8.3.36, 8.4.27, 8.5.12

Обновить PHP до исправленных релизов с патчем для CVE-2026-109619. В качестве временной меры снижения рисков — настроить изоляцию рабочих процессов или уменьшить лимит обрабатываемых запросов на воркер (параметр pm.max_requests в PHP-FPM) для принудительного перезапуска процессов.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Уязвимость в ядре PHP позволяет добиться выполнения произвольного кода (RCE) из-за некорректного сброса глобального состояния между HTTP-запросами. Это приводит к разыменованию повисших указателей на уже освобожденную память запроса (Use-After-Free / Stale State).

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Ряд структур глобального состояния PHP временно ссылается на память, выделенную под конкретный запрос. При определенных сценариях обработки это состояние не сбрасывается корректно либо повторно заполняется уже после очистки, продолжая указывать на освобожденный регион памяти. Последующие запросы читают устаревшие данные или ветвят логику до момента полной инициализации структур, что позволяет злоумышленнику управлять ходом выполнения процесса.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Удаленный неаутентифицированный атакующий может нарушить целостность памяти процесса и добиться выполнения произвольного кода (RCE) на сервере с правами веб-сервиса (PHP-FPM/Apache).

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

PHP GroupPHP

>= 8.2.*➔Fix: 8.2.35

PHP GroupPHP

>= 8.3.*➔Fix: 8.3.36

PHP GroupPHP

>= 8.4.*➔Fix: 8.4.27

PHP GroupPHP

>= 8.5.*➔Fix: 8.5.12

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

github.comhttps://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-109619: RCE via stale global state. URL: https://cve.futuretools.ru/cve/CVE-2026-109619

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_109619,
  title = {{CVE-2026-109619: RCE via stale global state}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-109619}},
  note = {Оперативный инженерный анализ киберугроз}
}