CVE-2026-109618
Publiée le 2026-10-21 · Dernière modification le 2026-10-26 KEV — activement exploitée
PHP utilise un mécanisme appelé `longjmp()` pour interrompre les requêtes lorsque le système manque de mémoire (OOM). Dans certains scénarios, ce processus laisse une partie de la mémoire de la requête non initialisée, ce qui signifie qu'elle contient des données résiduelles au lieu d'être correctement effacée. Si une procédure de nettoyage ultérieure lit ou s'appuie sur cette mémoire « sale », cela crée une faille qui peut être déclenchée à l'aide de stratégies spécifiques d'épuisement de la mémoire.
Un attaquant peut exploiter cela pour parvenir à une exécution de code à distance, lui octroyant un contrôle total sur la confidentialité, l'intégrité et la disponibilité du serveur. Cette attaque ne nécessite ni authentification ni interaction de l'utilisateur et peut être effectuée via le réseau. Elle est cependant considérée comme difficile à exécuter, car l'attaquant doit manipuler précisément les états de la mémoire pour provoquer le plantage et l'exploitation qui en découle.
ACTIVEMENT EXPLOITÉE (KEV DE LA CISA)
PHP Memory Corruption Vulnerability — PHP contains an out-of-memory corruption vulnerability that allows for unauthenticated remote code execution. Ajoutée au catalogue KEV de la CISA le 2026-10-26. Date limite de correction (agences fédérales américaines) : 2026-10-29.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. Some contexts may not properly account for this scenario and leave request memory in an uninitialized state before performing an allocation. The subsequent request cleanup procedure may read or branch on this memory. Multiple OOM strategies can consistently trigger this condition and lead to remote code execution (RCE).