CVE-2026-109618
RCE via corruption OOM
- Publié
- 21 oct. 2026
- Mise à jour
- 21 oct. 2026
- Attribution de CNA
- php
- Preuve observée
- 21 oct. 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XRésumé
PHP utilise longjmp() pour les erreurs de mémoire insuffisante (OOM) afin de quitter le contexte courant et d'interrompre le traitement de la requête. Certains contextes peuvent ne pas prendre correctement en compte ce scénario et laisser la mémoire de la requête dans un état non initialisé avant d'effectuer une allocation. La procédure de nettoyage de la requête qui suit peut lire ou effectuer un branchement sur cette mémoire. Plusieurs stratégies OOM peuvent déclencher systématiquement cette condition et conduire à une exécution de code à distance (RCE).
Sources
http/cves/2026/CVE-2026-109618.yaml
Nuclei TemplatesConditions déclarées
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
PHP CVE-2026-109618/109619 — RCE non authentifiée autonome sur PHP 8.5.11 standard (divulgation mémoire in-band PS(id)→cookie + chaîne UAF), échelles de contrôle complètes, contrôle négatif sur version corrigée en 8.5.12
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.