PHP: แพตช์ Critical RCE ออกแล้ว

PHP: แพตช์ Critical RCE ออกแล้ว Critical

CVE-2026-109618 / CVE-2026-109619 | CVSS 9.2 | Unauthenticated RCE

🗓21 ต.ค. 2569Vulnerability & Patchยืนยันแล้ว

📅20 ต.ค. 2569 ประกาศล่วงหน้า (php.announce) | 21 ต.ค. 2569 ออกแพตช์ 21:00 น. ไทย

Rapid7 (22 ต.ค.) ระบุมี PoC หลายตัวแต่ยังไม่เสถียร ใช้ได้เฉพาะบางชุด OS/PHP/web server — ยังไม่มีรายงานการโจมตีจริงในวงกว้าง

ทีม PHP ประกาศล่วงหน้า 20 ต.ค. ว่าจะออกแพตช์แก้ช่องโหว่ Critical 2 รายการ (CVSS v4 9.2) และออกจริงตามกำหนด 21 ต.ค. 14:00 UTC (21:00 น. ไทย): CVE-2026-109618 (memory corruption ระหว่างจัดการ out-of-memory) และ CVE-2026-109619 (use-after-free จาก stale global state เมื่อ worker process ถูกใช้ซ้ำ) ทั้งคู่เปิดทางให้ RCE โดยไม่ต้องยืนยันตัวตน ด้วยสิทธิ์ของ web worker ครอบคลุม PHP-FPM, mod_php, CGI เวอร์ชันที่แก้แล้ว: 8.5.12, 8.4.27, 8.3.36, 8.2.35 (7.4/8.0/8.1 มี backport เฉพาะ source)

แหล่งอ้างอิง

[ANNOUNCE] Upcoming Critical PHP Security Release (php.announce #509) (20 ต.ค. 2569)
php.net: Security advisory — Critical remote code execution vulnerabilities, update now (21 ต.ค. 2569)
Rapid7: CVE-2026-109618 and CVE-2026-109619 — Critical Unauthenticated RCE in PHP (21 ต.ค. 2569)