CVE-2026-92842

OOB read / info leak in convert.* stream filters when line-break-chars contains NUL

CVSS 3.1Medium

5.9/ 10.0

Опубликовано

25 сентября 2026 г.

Обновлено

28 сентября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 8.2.34, 8.3.35, 8.4.26, 8.5.11

Обновить затронутую среду исполнения PHP до релизов с корректным бинарно-безопасным выделением памяти под line-break-chars.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Чтение за границами буфера в потоковых фильтрах convert.*, приводящее к утечке содержимого кучи.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Фильтры convert.base64-encode, convert.quoted-printable-encode и convert.quoted-printable-decode принимают параметр line-break-chars. Конструкторы фильтров дублируют значение через pestrdup(), прерывающий копирование на нулевом байте (NUL), но сохраняют исходную длину строки. При выводе перевода строки фильтр копирует зафиксированное число байт из усеченного буфера, выходя за его пределы.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Утечка конфиденциальных данных из смежных областей кучи (heap memory disclosure) в выходной поток фильтра.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

PHP GroupPHP

>= 8.2.*➔Fix: 8.2.34

PHP GroupPHP

>= 8.3.*➔Fix: 8.3.35

PHP GroupPHP

>= 8.4.*➔Fix: 8.4.26

PHP GroupPHP

>= 8.5.*➔Fix: 8.5.11

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

github.comhttps://github.com/php/php-src/security/advisories/GHSA-88hq-2827-7pg6

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-92842: OOB read / info leak in convert.* stream filters when line-break-chars contains NUL. URL: https://cve.futuretools.ru/cve/CVE-2026-92842

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_92842,
  title = {{CVE-2026-92842: OOB read / info leak in convert.* stream filters when line-break-chars contains NUL}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-92842}},
  note = {Оперативный инженерный анализ киберугроз}
}