CVE.futuretools
FAQ
NVD NIST
CVE-2026-82416

FrankenPHP: Cross-request PHP session ID leak in worker mode when the session extension is a shared module

CVSS 3.1High
7.7/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.12.5
Обновите FrankenPHP до версии 1.12.5 или выше, либо пересоберите PHP со статически скомпилированным модулем session.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Утечка идентификаторов сессий PHP между параллельными запросами в FrankenPHP при запуске в worker mode с динамическим модулем session.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Если расширение session собрано как shared-модуль и макрос HAVE_PHP_SESSION недоступен на этапе компиляции, вызов frankenphp_reset_session_state() вырезается препроцессором. Значение PS(id) сохраняется между транзакциями воркера, а session_start() игнорирует входящий cookie.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Утечка чужих идентификаторов сессий и перехват учетных записей (session hijacking). Функция session_id() отдает идентификатор параллельного или предыдущего клиента на общем потоке воркера.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

phpfrankenphp
все ранние➔Fix: 1.12.5
——
>= 0➔Fix: 1.12.5

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-82416: FrankenPHP: Cross-request PHP session ID leak in worker mode when the session extension is a shared module. URL: https://cve.futuretools.ru/cve/CVE-2026-82416
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_82416,
  title = {{CVE-2026-82416: FrankenPHP: Cross-request PHP session ID leak in worker mode when the session extension is a shared module}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-82416}},
  note = {Оперативный инженерный анализ киберугроз}
}