CVE-2026-109619: вторая критическая RCE в ядре PHP с оценкой 9.2

В ядре PHP нашли вторую уязвимость, исправленную 21 октября 2026 года вместе с CVE-2026-109618: внутреннее состояние запроса остаётся доступным после освобождения памяти, что даёт удалённое выполнение кода с рейтингом 9.2 по CVSS v4.0. Патчи вышли в 8.5.12, 8.4.27, 8.3.36 и 8.2.35, аутентификация не требуется; ветки 8.1 и старше остались без обновлений.

• CVSS v4.0 — 9.2, удалённое выполнение кода без аутентификации
• Патчи в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35
• Триггер — фатальная ошибка, после которой остаётся указатель на освобождённую память
• Ветки PHP 8.1 и старше не получают обновлений