PHP phát hành bản vá khẩn cho 2 lỗ hổng cực nặng vào ngày 21/10/2026

Hai lỗ hổng là CVE-2026-109618 và CVE-2026-109619, cùng chấm 9.2/10 (CVSS v4.0), không cần đăng nhập vẫn khai thác được.

- Lỗi thứ nhất: PHP hết bộ nhớ giữa chừng khi đang nạp dữ liệu request, bước dọn dẹp sau đó coi dữ liệu dở dang là hợp lệ, gây hỏng bộ nhớ và có thể chạy mã từ xa.

- Lỗi thứ hai: một worker giữ tham chiếu tới dữ liệu đã giải phóng, request sau đọc nhầm dữ liệu cũ, dẫn tới lộ thông tin hoặc chạy mã.

- Mã khai thác bị lộ trước khi có bản vá, và đã có đơn vị bảo mật báo thấy khai thác ở quy mô lớn.

- Ảnh hưởng PHP-FPM, Apache mod_php, php-cgi, FrankenPHP và LiteSpeed. Rủi ro cao nhất là mod_php.

- Bản đã vá: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35. PHP 7.4, 8.0, 8.1 hết hỗ trợ thường kỳ nhưng có bản vá khẩn riêng.

- Tường lửa (WAF) chỉ là lớp đỡ, không thay được việc nâng PHP.