Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.
PHP utilise longjmp() pour les erreurs hors mémoire (OOM) pour quitter le contexte actuel et avorter la gestion de la requête. Certains contextes ne tiennent pas compte correctement de ce scénario et laissent la mémoire de la requête dans un état non initialisé avant d'effectuer une allocation. La procédure de nettoyage de la demande ultérieure peut lire ou brancher sur cette mémoire. Plusieurs stratégies OOM peuvent déclencher systématiquement cette condition et conduire à l'exécution de code à distance (RCE).
Texte officiel (anglais)
PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. Some contexts may not properly account for this scenario and leave request memory in an uninitialized state before performing an allocation. The subsequent request cleanup procedure may read or branch on this memory. Multiple OOM strategies can consistently trigger this condition and lead to remote code execution (RCE).
Versions touchées
php php à partir de 7.3.0, avant 8.2.35
php php à partir de 8.3.0, avant 8.3.36
php php à partir de 8.4.0, avant 8.4.27
php php à partir de 8.5.0, avant 8.5.12
siemens ruggedcom ape1808 firmware toutes versions publiées
paloaltonetworks pan-os à partir de 10.2.0, avant 10.2.7
CISA a ajouté deux nouvelles vulnérabilités à son catalogue de vulnérabilités Expiliés (KEV) et mis à jour l'alerte PHP, vulnérabilités critiques en PHP Exiger un accrochement immédiat : CVE-2026-109618 – Vulnérabilité de la mémoire PHP Vulnérabilité de la corruption CVE-2026-109619 – Vulnérabilité interne de la demande d'état PHP Stale Ces types de vulnérabilités sont un vecteur d'attaque fréquent pour les cyberacteurs malveillants et posent signe
Attendez-vous à voir quelques sites Web servant des erreurs "404" ou "Page Not Found" aujourd'hui: Près de 70 pour cent des sites Web doivent mettre à jour leur logiciel de base pour corriger une paire de vulnérabilités qui permettent à un attaquant de saisir le contrôle total sur les serveurs affectés. Les experts disent qu'il y a des exploits de travail pour les défauts, et que ces bogues critiques sont déjà exploités dans la nature.
