PHP - CVE-2026-109618

Il s’agit d’une vulnérabilité dans la gestion des erreurs de mémoire insuffisante (OOM) du cœur de PHP.

PHP est un langage de script généraliste exécuté côté serveur. Il est largement utilisé pour développer des sites et des applications web.

Lors d’un manque de mémoire, PHP interrompt la requête avec longjmp(). Les données internes de la requête sont alors partiellement initialisées. L’arrêt de la requête traite ces données invalides comme valides. Cela provoque une corruption de la mémoire. Une requête multipart sans taille exploitable peut contourner post_max_size pour provoquer le manque de mémoire. L’attaque a lieu avant l’exécution du code applicatif. Elle est démontrée sur Apache mod_php avec la configuration par défaut. PHP-FPM, php-cgi, FrankenPHP et LiteSpeed sont aussi concernés.

La CVE-2026-109619 est une vulnérabilité indépendante dans la gestion de l’état global de PHP. Un état interne lié à une requête survit à la libération de sa mémoire (use-after-free). Une requête suivante traitée par le même worker l’utilise avant son initialisation.

Elle permet à un attaquant non authentifié, à distance, d’exécuter du code arbitraire avec les droits du processus web. La CVE-2026-109619 expose aussi la mémoire du processus.