Today's PHP security release, and how we're strengthening security
Вышли PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 с исправлениями двух критических уязвимостей, позволяющих неаутентифицированному атакующему выполнять код на сервере. Первая (CVE-2026-109618) — повреждение памяти при достижении memory_limit в неудачный момент: на Apache с mod_php запрос срабатывает ещё до кода приложения, и полный удалённый запуск кода подтверждён на настройках по умолчанию; на PHP-FPM — через код приложения. Вторая (CVE-2026-109619) — устаревшее состояние: фатальная ошибка оставляла внутренние указатели на память прошлого запроса, что давало use-after-free и запуск кода в реальном приложении на Apache с mod_php. Обе уязвимости лежат в управлении памятью и обработке ошибок — в частях, которые затрагивает почти каждый запрос, поэтому исправление грозило потерей совместимости, падением производительности или поломкой сторонних расширений.
Первый за годы внешний аудит 2024 года профинансировало Sovereign Tech Agency, организовал OSTIF, провёл Quarkslab. При исправлении его находок разработчик и заметил первые признаки проблемы с нехваткой памяти; в 2024-м эксплойт лишь теоретизировали. Команда безопасности перебирала конкурирующие подходы, решения принимались консенсусом, и работа месяцами то замирала, то возобновлялась — авторы прямо называют задержку структурным провалом из-за процесса принятия решений и нехватки ресурсов. Теперь решения принимаются большинством голосов, а компромиссы поощряются.
Главный дефицит — опытные инженеры, знающие всю кодовую базу PHP. Фонд PHP просит финансирования у компаний на PHP, хостингов, облаков и дистрибутивов, а также государств: пример — поддержка немецкого агентства, оплатившего аудит.