Обнаружены две уязвимости, связанные с памятью, в версиях PHP до выхода соответствующих исправленных версий. Неаутентифицированный удаленный злоумышленник может использовать эти недостатки, отправляя специально сформированные HTTP-запросы. Первая, CVE-2026-109618, — это проблема повреждения памяти при обработке ошибок нехватки памяти в PHP. Это происходит, когда условие нехватки памяти прерывает обработку запроса с частично инициализированными данными. Последующие попытки очистки обращаются к недопустимой памяти, что приводит к повреждению и возможному выполнению кода. Вторая, CVE-2026-109619, — это уязвимость использования после освобождения памяти при управлении глобальным состоянием. Это происходит, когда рабочий процесс сохраняет ссылку на освобожденную память запроса, позволяя последующему запросу получить доступ к устаревшему состоянию. Обе уязвимости могут привести к произвольному выполнению кода, нарушая конфиденциальность, целостность и доступность. Развертывания Apache mod_php особенно подвержены риску, поскольку эксплуатация может произойти до выполнения кода приложения. Решение — немедленно обновить PHP до исправленных версий. Если обновление невозможно, доступны временные меры для обеих CVE. Они включают корректировку лимитов памяти, отключение отслеживания прогресса загрузки сеанса и принудительное применение серверных ограничений на запросы. Сегментация сети и запуск PHP с минимальными привилегиями также могут ограничить воздействие.