Утечка памяти

Утечка памяти в ядре PHP становится вектором для удаленного захвата серверов

Две критические уязвимости, объединенные под именем PHP2Shell, позволяют злоумышленникам выполнять произвольный код на веб-серверах через ошибки управления памятью. Утечка памяти здесь выступает не просто как деградация производительности, а как прямая причина безопасности: при исчерпании лимитов или после освобождения ресурсов часть данных остается доступной для манипуляций. Атакующие используют специально сформированные запросы формата multipart/form-data для обращения к этим областям, что приводит к компрометации систем PHP-FPM, Apache mod_php и php-cgi без необходимости входа в систему.

Событие: Обнаружены уязвимости CVE-2026-109618 и CVE-2026-109619 с оценкой CVSS 4.0 равной 9,2 из 10, позволяющие выполнить удаленный код одним запросом.

Фактор: Ошибка типа «use-after-free» (CVE-2026-109619) возникает в стандартном модуле session.upload_progress, делая уязвимыми даже минимально настроенные приложения без сторонних плагинов.

Риск: Для эксплуатации достаточно одного запроса multipart/form-data, не требующего учетных данных или действий жертвы, что делает атаку массовой и автоматизированной.

Эффект: Утечка памяти при исчерпании лимитов (OOM) оставляет данные неинициализированными, позволяя атакующему обратиться к этой области и выполнить собственный код на сервере.

Подробнее →