PHP ออกแพตช์แก้ช่องโหว่วิกฤต 2 รายการ CVSS 9.2 RCE ไม่ต้องยืนยันตัวตน กระทบ PHP-FPM/Apache mod_php/php-cgi
โดย
โครงการ PHP ปล่อยแพตช์ความปลอดภัยแก้ช่องโหว่ระดับวิกฤต 2 รายการ (CVSS v4.0 = 9.2) ที่อนุญาตให้รันโค้ดระยะไกล (RCE) โดยไม่ต้องยืนยันตัวตนตามที่ประกาศล่วงหน้า
- ★ช่องโหว่ทั้งสอง
1) CVE-2026-109618 (RCE via OOM corruption): การจัดการหน่วยความจำไม่เพียงพอ (out-of-memory) ทำให้ข้อมูลคำขอถูกประมวลผลบางส่วน → cleanup อาจถือข้อมูลไม่ถูกต้องเป็นข้อมูลที่ใช้ได้
2) CVE-2026-109619 (RCE via stale global state): สถานะภายในที่ผูกกับคำขออาจอยู่รอดหลังหน่วยความจำถูกคืน → คำขอถัดไปที่ worker เดียวกันจัดการอาจใช้สถานะเก่าก่อนการเริ่มต้นใหม่
- ★ผู้ที่เสี่ยง
- ทุก installation ที่ให้บริการเว็บ: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed
- เสี่ยงสูงสุด: mod_php (มี exploit ที่ไม่ต้องยืนยันตัวตนสามารถโจมตีก่อนแอปพลิเคชันทำงาน)
- ★เวอร์ชันที่แก้ไข
- PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35
- ดาวน์โหลดซอร์ส/ไบนารีวินโดวส์ได้ที่หน้า download
- ลินุกซ์ distro/LTS ได้รับแพตช์ล่วงหน้าแล้ว (ตรวจสอบกับ vendor)
- PHP 8.1 และเก่ากว่าไม่ได้รับการอัปเดตจากโครงการ (ต้องติดต่อ vendor หรืออัปเกรด)
- rpms.remirepo.net จะยังไม่มีอัปเดตวันนี้ (แนะนำเปลี่ยนไปใช้แพ็กเกจ distro หรือ build จากซอร์ส)
- มี source-backports สำหรับ PHP 7.4, 8.0, 8.1 (สำหรับผู้ที่ build เอง)
- ★มาตรการชั่วคราว (หากอัปเดตไม่ได้)
⭐ สำหรับ CVE-2026-109618 (OOM):
- ตั้ง memory_limit=-1 (ล็อกไม่ให้แอปเปลี่ยน)
- ตั้ง post_max_size ต่ำ (8M หรือ 32M หากมีอัปโหลด)
- ใช้ container/cgroup จำกัด (อย่าใช้ RLIMIT_AS/DATA)
⭐ สำหรับ CVE-2026-109619 (stale state):
- ตั้ง session.upload_progress.enabled=0 และรีสตาร์ต worker
- บน PHP 8.5: ตั้ง fatal_error_backtraces=0 และรีสตาร์ต
- ลบการตั้งค่าที่ไม่ถูกต้อง/เลิกใช้ที่ทำให้เกิด diagnostic ก่อน initialization
- แก้ไข fatal error/execution timeout ที่ผู้โจมตีเข้าถึงได้
✏️ Shoper Gamer
Credit :
👇
- ●https://www.blognone.com/node/151978
- ●https://www.php.net/archive/2026.php#2026-10-20-1
- ●https://www.blockdit.com/posts/6ad81bdd06112e136eeaa0b0
- 2
โฆษณา
- ดาวน์โหลดแอปพลิเคชัน
- © 2026 Blockdit
