PHP ปล่อยแพตช์เวอร์ชั่น 8.5.12, 8.4.27, 8.3.36, และ 8.2.35 ตามที่ประกาศไว้ก่อนหน้านี้ แก้ไขช่องโหว่รันโค้ดระยะไกลโดยไม่ต้องล็อกอิน ช่องโหว่นี้กระทบการใช้งานแทบทุกรูปแบบ แต่ความเสี่ยงในแบบ Apache + mod_php มีความเสี่ยงสูงสุด

ช่องโหว่จริงๆ มีสองรายการ ได้แก่

• CVE-2026-109618: อาศัยการยิงให้แรมหมด และ PHP มองข้อมูลที่พังกลายเป็นข้อมูลที่ใช้งานได้ จนนำไปสู่การรันโค้ด
• CVE-2026-109619: ช่องโหว่การอ่านค่าภายในของ PHP แต่เมื่อ PHP คืนหน่วยความจำไปแล้วกลับขออ่านซ้ำได้ใหม่

สำหรับผู้ที่ผู้ที่ยังอัพเกรดไม่ได้ ให้ตั้งค่า memory_limit=-1 เพื่อให้ PHP สามารถดึงหน่วยความจำได้มากๆ และตั้ง post_max_size ให้ต่ำๆ เช่น 8-32MB พร้อมกับตั้ง session.upload_progress.enabled=0 และ fatal_error_backtraces=0 และอย่าลืมรีสตาร์ต PHP worker ทั้งหมด

ตอนนี้ลินุกซ์ต่างๆ ได้แพตช์ไปล่วงหน้าแล้วทำให้น่าจะปล่อยอัพเดตเร็วๆ นี้ ส่วน Docker ต้องรออีกไม่กี่นาที

ที่มา - PHP