PHP 8.5.12 закрыл две критические RCE-уязвимости без аутентификации

Команда PHP выпустила патчи 8.5.12, 8.4.27, 8.3.36 и 8.2.35 против двух неаутентифицированных RCE: CVE-2026-109618 (порча памяти при нехватке памяти) и CVE-2026-109619 (устаревшее глобальное состояние между запросами). Уязвимы PHP-FPM, mod_php, php-cgi, FrankenPHP и LiteSpeed; для mod_php есть рабочий эксплойт, срабатывающий до кода приложения.

• CVE-2026-109618 — RCE через порчу данных при исчерпании памяти
• CVE-2026-109619 — RCE через устаревшее состояние между запросами
• Патчи: 8.5.12, 8.4.27, 8.3.36, 8.2.35; для 8.1 и старше обновлений нет
• После установки пакета нужно перезапустить FPM-воркеры