CVE-2026-109618
CVSS 9.8 CRITICAL: pHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. EPSS 100% (100º percentile).
Vulnerabilità ed exploit
Qualys riferisce che nelle prime 12 ore solo 199.000 delle 156 milioni di installazioni PHP erano state aggiornate contro PHP2Shell. Il problema immediato è il ritardo nella diffusione della patch: CVE-2026-109618 e CVE-2026-109619 restano rilevanti finché gli aggiornamenti non raggiungono le installazioni esposte.
Le falle riguardano la gestione dello stato quando PHP interrompe una richiesta dopo un esaurimento di memoria. PHP può abbandonare il contesto con un salto non locale, ma dati globali possono restare collegati alla memoria usata da quella richiesta. Le informazioni disponibili non precisano quale effetto concreto possa ottenere un attaccante.
Qualys presenta controlli temporanei come ponte in attesa degli aggiornamenti, senza che le informazioni disponibili ne specifichino il contenuto. Il dato aggregato misura un rollout lento, ma non dice quante installazioni di una singola organizzazione siano ancora esposte né dimostra che la distribuzione della patch abbia chiuso il varco.
1 fonte · 14 ore fa
CVSS 9.8 CRITICAL: pHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. EPSS 100% (100º percentile).
CVSS 9.8 CRITICAL: pHP has various global state that temporarily points into request memory. EPSS 100% (100º percentile).
Qualys
Can’t Patch PHP2Shell Yet? Build a Stopgap with the Controls You Own
PHP2Shell’s fix is to update PHP, but patching at scale is slow.
originalePart of the PlainSec briefing for 2026-10-26
Every edition of this story: Solo 199.000 installazioni PHP aggiornate nelle prime 12 ore