PHP 8.5.11 - Crítico - Remoto - UAF - CVE-2026-109619 PHP2Shell. Backtrace fatal no mesmo worker e depois diagnóstico INI no Apache mod_php. Laboratório vs 8.5.12. RCE inferido pelo advisory.
Qualquer pessoa na internet pode se comunicar com o seu site PHP da mesma forma que um navegador, sem senha. Na última versão afetada do PHP 8.5, é possível forçar uma requisição a morrer com um erro fatal e, em seguida, enviar uma segunda requisição para o mesmo worker. O PHP 8.5 mantém um backtrace desse erro fatal na memória global do worker depois que o heap da requisição é liberado. A segunda requisição lê esse backtrace ao aplicar uma flag INI remanescente, antes que o motor tenha se reinicializado. Neste laboratório, essa segunda requisição mata o processo filho do Apache. O PHP Group demonstrou que o mesmo padrão pode se tornar execução remota de código como o worker web.
Classe: UAF / Crash Alcance: Remoto
PHP 8.5.11 (php:8.5.11-apache) vs 8.5.12 corrigido - php.net
CVE-2026-109619 é estado global de worker obsoleto. O laboratório fixa o Apache prefork em um único processo filho, produz um erro fatal com fatal_error_backtraces=On e, em seguida, o consome com php_flag auto_detect_line_endings on / report_memleaks off por diretório, aplicados antes de php_request_startup(). 8.5.11: produtor 200 fatal, conexão do consumidor reiniciada, log do Apache zend_mm_heap corrupted. 8.5.12: a mesma sequência de duas fases permanece ativa (consumer-ok). O RCE do advisory como o worker do Apache é inferido a partir do GHSA.
| ID | CVE-2026-109619 |
| Advisory | GHSA-6wmf-4rv5-p3rp |
| Classe | UAF / Crash (RCE do advisory inferido) |
| Alcance | Remoto (HTTP não autenticado, mesmo worker) |
| CWE | CWE-416 / CWE-825 |
| CVSS | Crítico: 9.2 CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H (PHP Group) |
| Produto | PHP |
| Afetado | PHP 8.2 anterior a 8.2.35, 8.3 anterior a 8.3.36, 8.4 anterior a 8.4.27, 8.5 anterior a 8.5.12 (fixação do laboratório 8.5.11, o braço de backtrace é 8.5) |
| Corrigido | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (21 out 2026) |
| Autenticação | nenhuma |
| Licença | GNU Affero GPL v3.0 |
| Laboratório | somente 127.0.0.1 |
Relacionado: CVE-2026-109618 OOM longjmp (par PHP2Shell).
| Método | Sink | Privilégio |
|---|---|---|
GET /producer.php não autenticado e depois GET /consumer.php no mesmo processo filho do Apache prefork | fatal_error_backtraces do 8.5 nunca reinicializado no encerramento; diagnóstico INI antes de php_request_startup() | Disponibilidade (comprovado em laboratório): mata esse processo filho (zend_mm_heap corrupted, conexão reiniciada) no 8.5.11. Integridade (inferido): ponteiro de backtrace pendente; o fornecedor demonstrou RCE como www-data. Reconhecimento (inferido): divulgação de heap de requisição remanescente. |
| Mesma sequência de duas fases no 8.5.12 | reinicialização completa do estado | Fechado (comprovado em laboratório): corpo do consumidor consumer-ok, worker permanece ativo. |
error_reporting / display_errors / @ | o aviso ainda consome estado obsoleto | Fechado como mitigação. O estado global é acessado antes de o PHP decidir se deve reportar o diagnóstico. |
.user.ini do pool FPM | aplicado após a inicialização normal | Fechado como este consumidor precoce. O FPM precisa de PHP_VALUE / PHP_ADMIN_VALUE no frontend. O progresso de upload de sessão é um segundo braço confirmado pelo fornecedor (mod_php e FPM); este laboratório usou o braço de backtrace do 8.5. |
Login, reverse shell, .so personalizado | n/a | Fechado. Nenhuma tentativa de controle de RIP. |
Comprovado em laboratório vs inferido: UAF/crash no mesmo worker vs controle corrigido é comprovado em laboratório. O RCE é inferido a partir de GHSA-6wmf-4rv5-p3rp.
Requer: Apache apache2handler prefork fixado em um único worker. PHP 8.5 fatal_error_backtraces=On. Diagnóstico INI por diretório. php:8.5.11-apache oficial vs php:8.5.12-apache.
python3 php-stale-global-uaf-Abraxas-Labs.py
ou cd lab && ./run.sh. Loopback 127.0.0.1:18222 (8.5.11) vs 127.0.0.1:18223 (8.5.12). Projeto Compose cve-2026-109619. Testemunha CVE-2026-109619-UAF-WITNESS. Última linha:
SUCCESS CVE-2026-109619 vuln-uaf=yes vuln-crash=yes patched-ok=yes sapi=apache2handler pin=same-worker vuln-image=php:8.5.11-apache patched-image=php:8.5.12-apache how=backtrace crash=connection-reset CVE-2026-109619-UAF-WITNESS
Apenas laboratório autorizado. Ele se comunica com o loopback.
Atualize para PHP 8.5.12 (ou 8.2.35 / 8.3.36 / 8.4.27). Até então: fatal_error_backtraces=0 no 8.5 (apenas este produtor); session.upload_progress.enabled=0 (apenas o braço de sessão); remova o INI obsoleto por requisição; pm.max_requests=1 se puder arcar com isso. Não há mitigação de configuração genérica completa.
Abraxas Labs [email protected]