Критичні вразливості PHP CVE-2026-109618 та CVE-2026-109619

21 жовтня 2026 року розробники PHP випустили виправлення двох критичних вразливостей, які за певних умов дають змогу виконати код віддалено без автентифікації.

CVE-2026-109618 пов’язана з обробкою нестачі пам’яті: переривання запиту може призвести до того, що внутрішні структури PHP залишаться частково ініціалізованими. Подальше очищення звертається до некоректних даних, що відкриває можливість віддаленого виконання коду.

CVE-2026-109619 пов’язана зі збереженням посилань на пам’ять завершеного запиту в глобальному стані робочого процесу. При обробці наступного запиту звернення до вже звільненої пам’яті призводить до use-after-free і може дозволити виконати код. Умови експлуатації залежать від конфігурації PHP, розширень та застосунку.

Команда Хостинг Україна протягом доби після оприлюднення інформації про вразливості оновила версії PHP на серверах хостингу:
- Для актуальних версій PHP було встановлено офіційні оновлення з виправленнями: 8.2.35, 8.3.36, 8.4.27, 8.5.12.
- Старіші версії PHP 7.1-8.1 були перезібрані з необхідними виправленнями.

Перевірити номери версій та дати збірки можна на сторінці https://www.ukraine.com.ua/action/hosting/phpinfo/ — якщо у виведенні phpinfo у полі Build Date вказана дата 21 жовтня 2026 року або пізніша, значить це версія з виправленнями.

Версії PHP 5.6-7.0 будуть оновлені одразу після появи відповідних виправлень у їхньому коді — на даний момент конкретні терміни щодо них поки ще невідомі.

Адміністраторам VPS та виділених серверів необхідно самостійно оновити PHP до останніх версій.

UPD: Версії PHP 5.4-7.0 перезібрані та оновлені на серверах.

UPD: Версії PHP 5.2-5.3 також перезібрані та оновлені на серверах.