PHP: tratamento de memória esgotada pode levar a execução remota de código
O PHP usa longjmp() para abortar um pedido sem memória, e alguns contextos deixam memória do pedido por inicializar, o que pode levar a execução remota de código. Consta do catálogo KEV da CISA. CVSS 9,8.
- Identificador: CVE-2026-109618
- Publicado em: 2026-10-21
- Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 9.8 (CRITICAL)
Descrição (texto original em inglês):
PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. Some contexts may not properly account for this scenario and leave request memory in an uninitialized state before performing an allocation. The subsequent request cleanup procedure may read or branch on this memory. Multiple OOM strategies can consistently trigger this condition and lead to remote code execution (RCE).
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnica MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application)
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (github.com)github.com
- Referência (www.openwall.com)www.openwall.com
- Referência (www.openwall.com)www.openwall.com
- Técnica MITRE ATT&CK T1190attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.