CVE-2026-109618
CVSS 9.8 CRITICAL: pHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. EPSS 100% (100º percentile).
Vulnerabilità · 4 ore fa
BleepingComputer riferisce che le due vulnerabilità RCE critiche di PHP, CVE-2026-109618 e CVE-2026-109619, sono sfruttate con successo in attacchi reali. Per i servizi esposti, il caso passa dai dubbi sulla fattibilità dei PoC alla gestione di possibili compromissioni.
Le falle sfruttano il modo in cui PHP gestisce l'esaurimento della memoria e i dati delle richieste per arrivare a RCE sul server. Il resoconto non descrive i passaggi visibili all'attaccante, quindi non è possibile precisare la tecnica oltre questo livello.
I PoC precedenti dipendevano da condizioni considerate insolite, tra cui un limite di memoria di 8 MB; questo non dimostra che configurazioni comuni da 128 MB siano al sicuro. Il materiale disponibile non identifica versioni o configurazioni coinvolte né indica una correzione: l'esposizione dei singoli servizi PHP resta quindi da delimitare.
CVSS 9.8 CRITICAL: pHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. EPSS 100% (100º percentile).
CVSS 9.8 CRITICAL: pHP has various global state that temporarily points into request memory. EPSS 100% (100º percentile).
2 fonti che coprono questa storia
PHP2Shell security flaws now sucessfully exploited in the wild
Two critical RCE vulnerabilities (CVE-2026-109618 and CVE-2026-109619), collectively tracked as PHP2Shell, have been successfully exploited in the wild.
(Reliable)? php2shell exploitability - SANS ISC
php2shell exploitability, Author: Bojan Zdrnja
Part of the PlainSec briefing for 2026-10-26