Un investigador de seguridad ha identificado una vulnerabilidad de uso de memoria después de su liberación (UAF) en PHP, específicamente relacionada con el mecanismo `session.upload_progress`. Este fallo, identificado como CVE-2026-109618 y CVE-2026-109619, ocurre durante el manejo de datos de formularios multipart. En un escenario de use-after-free, el sistema continúa haciendo referencia a una dirección de memoria después de que esta ha sido liberada; en este caso específico, el 'uso' de esa memoria puede permitir que un atacante ejecute código arbitrario.
Las discusiones técnicas en torno a la vulnerabilidad enfatizan que el problema está profundamente arraigado en la forma en que PHP gestiona la memoria durante las cargas de archivos. Un comentarista en Hacker News señaló que la vulnerabilidad es grave porque permite directamente la ejecución de código arbitrario. Además, la discusión aclaró una distinción crítica con respecto a la mitigación: aunque muchos usuarios podrían asumir que desactivar opciones específicas de configuración de PHP, como `session.upload_progress.enabled`, proporcionaría una salvaguardia, algunos análisis sugieren que la vulnerabilidad UAF subyacente en multipart podría seguir siendo explotable independientemente de esos ajustes específicos.
Debido a que la vulnerabilidad está ligada al manejo central de multipart/form-data, los administradores están buscando protecciones más amplias a nivel de sistema. Los comentaristas sugirieron que módulos de seguridad como SELinux o AppArmor podrían servir como medidas provisionales más efectivas que los cambios de configuración específicos de PHP. Además, existe una incertidumbre continua sobre el cronograma de los parches en los principales repositorios de distribución, como Debian, lo que afecta la rapidez con la que los entornos de producción pueden protegerse contra el exploit. La complejidad del informe y los problemas subyacentes de gestión de memoria resaltan los desafíos persistentes de asegurar lenguajes de programación de larga trayectoria contra fallos sofisticados de corrupción de memoria.