CVE-2026-109619

PHP gère un état global qui pointe occasionnellement vers de la mémoire utilisée lors d'une requête web spécifique. Dans certains scénarios, cet état n'est pas réinitialisé correctement, laissant un pointeur « obsolète » vers de la mémoire qui a déjà été libérée. Lorsqu'une nouvelle requête arrive, PHP peut utiliser par erreur ces données résiduelles pour prendre des décisions logiques ou exécuter des commandes.

Un attaquant peut exploiter cette faille pour parvenir à une exécution de code à distance, lui octroyant un contrôle total sur la confidentialité, l'intégrité et la disponibilité du serveur. L'exploit est déclenché via le réseau et ne nécessite ni authentification ni interaction de l'utilisateur. Cependant, il est techniquement difficile à réaliser car il requiert un timing précis et une manipulation minutieuse de la mémoire pour réussir.