PHP: estado global obsoleto entre pedidos pode levar a execução remota de código
No PHP, estado global que aponta para memória de um pedido pode não ser reposto corretamente e ser usado por pedidos seguintes, o que pode levar a execução remota de código. Consta do catálogo KEV da CISA. CVSS 8,1.
- Identificador: CVE-2026-109619
- Publicado em: 2026-10-21
- Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 8.1 (HIGH)
Descrição (texto original em inglês):
PHP has various global state that temporarily points into request memory. In some scenarios, global state may not be correctly reset, or may be repopulated after being reset. The global state may then refer to request memory even after it has been freed. Subsequent requests may read or branch on this stale state before it is fully initialized. Multiple strategies can trigger this condition and produce remote code execution (RCE).
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnica MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application)
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (github.com)github.com
- Referência (www.openwall.com)www.openwall.com
- Referência (www.openwall.com)www.openwall.com
- Técnica MITRE ATT&CK T1190attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.