CVE-2026-109619

RCE thông qua trạng thái toàn cục cũ

PHP có nhiều trạng thái toàn cục tạm thời chỉ vào bộ nhớ yêu cầu. Trong một số tình huống, trạng thái toàn cục có thể không được đặt lại đúng cách hoặc có thể được tái tạo sau khi đã được đặt lại. Trạng thái toàn cục sau đó có thể tham chiếu đến bộ nhớ yêu cầu ngay cả sau khi nó đã được giải phóng. Các yêu cầu sau đó có thể đọc hoặc nhánh dựa trên trạng thái này trước khi nó được khởi tạo đầy đủ. Nhiều chiến lược có thể kích hoạt tình trạng này và tạo ra thực thi mã từ xa (RCE).

CNA cấp mã

php

Ngày công bố

21/10/2026

Cập nhật

06/11/2026

CVSS (NVD)

9.2 · CRITICAL

Loại lỗi (CWE)

CWE-416 · CWE-755 · CWE-824 · CWE-1325

EPSS (FIRST)

100.00% khả năng bị khai thác trong 30 ngày

CISA KEV

PHP Group PHP — Lỗ hổng PHP trạng thái nội bộ yêu cầu cũ. Đưa vào 2026-10-26, hạn khắc phục 2026-10-29. Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 về việc cập nhật an ninh dựa trên rủi ro (xem URL trong Ghi chú) và yêu cầu điều tra pháp y của CISA (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn cập nhật vá của BOD 26-04.