PT-2026-39448 · Php+2 · Php+2

Ilia Alshanetsky + 1 · Publicado 2026-05-07 · Atualizado 2026-05-28 · CVE-2026-7261

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas PHP versões 8.2.0 até 8.2.30 PHP versões 8.3.0 até 8.3.30 PHP versões 8.4.0 até 8.4.20 PHP versões 8.5.0 até 8.5.5

Descrição Quando o SoapServer é configurado com SOAP PERSISTENCE SESSION, o objeto manipulador é persistido entre as requisições via armazenamento de sessão. No entanto, caso as requisições SOAP resultem em erro, a persistência é processada incorretamente, resultando na liberação do objeto enquanto um ponteiro para ele é mantido. Isso pode levar a uma condição de use-after-free (uso após liberação), que ocorre quando um programa continua a usar um ponteiro após ele ter sido liberado, podendo causar corrupção de memória, divulgação de informações ou falhas no processo.

Recomendações Atualizar a versão do PHP 8.2.x para 8.2.31 Atualizar a versão do PHP 8.3.x para 8.3.31 Atualizar a versão do PHP 8.4.x para 8.4.21 Atualizar a versão do PHP 8.5.x para 8.5.6

Correção

Use After Free

Enumeração de Fraquezas

CWE-416

Identificadores relacionados

BIT-LIBPHP-2026-7261

BIT-PHP-2026-7261

BIT-PHP-MIN-2026-7261

CVE-2026-7261

OESA-2026-2342

OESA-2026-2343

OESA-2026-2344

OESA-2026-2420

OESA-2026-2421

OPENSUSE-SU-2026:10747-1

USN-8336-1

Produtos afetados

Linuxmint

Php

Ubuntu

Referências · 60

• https://github.com/php/php-src/security/advisories/GHSA-m33r-qmcv-p97q · Aviso do Fabricante
• https://github.com/php/php-src/commit/db2a7f9348fd5dda5fd162061786a664c417bf5b · Nota
• https://ubuntu.com/security/CVE-2026-6735 · Aviso do Fabricante
• https://twitter.com/kusanagi_saya/status/2054375861458219143 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2026-7568 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2053395666370437611 · Publicação no Twitter
• https://twitter.com/ICPLEGEND1966/status/2054933776652771410 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-7261 · Nota de Segurança
• https://suse.com/security/cve/CVE-2026-42371 · Nota
• https://osv.dev/vulnerability/OESA-2026-2343 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-14179 · Nota de Segurança
• https://ubuntu.com/security/CVE-2025-14179 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-7262 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-6735 · Nota de Segurança
• https://suse.com/security/cve/CVE-2026-7259 · Nota