CVE-2026-14355

ext/openssl: Memory corruption in openssl_encrypt with AES-WRAP-PAD

CVSS 3.1Medium

5.6/ 10.0

Опубликовано

3 июля 2026 г.

Обновлено

6 июля 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 8.2.32, 8.3.32, 8.4.23, 8.5.8

Обновите PHP до версий 8.2.32, 8.3.32, 8.4.23 или 8.5.8 соответственно используемой ветке.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Повреждение памяти в модуле ext/openssl интерпретатора PHP при вызове openssl_encrypt с алгоритмом AES-WRAP-PAD.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Размер выходного буфера для операции key-wrap-with-padding рассчитывается по длине открытого текста без учета обязательного расширения по RFC 5649.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Запись за границы выделенной памяти, повреждение метаданных кучи и аварийная остановка процесса (abort) PHP-приложения.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

phpphp

>= 8.2.0➔Fix: 8.2.32

phpphp

>= 8.3.0➔Fix: 8.3.32

phpphp

>= 8.4.0➔Fix: 8.4.23

phpphp

>= 8.5.0➔Fix: 8.5.8

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

github.comhttps://github.com/php/php-src/security/advisories/GHSA-7jrw-539f-x6vr

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-14355: ext/openssl: Memory corruption in openssl_encrypt with AES-WRAP-PAD. URL: https://cve.futuretools.ru/cve/CVE-2026-14355

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_14355,
  title = {{CVE-2026-14355: ext/openssl: Memory corruption in openssl_encrypt with AES-WRAP-PAD}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-14355}},
  note = {Оперативный инженерный анализ киберугроз}
}