PT-2026-39458 · Php · Php

Ilija Tovilo + 1 · Publicado 2026-05-10 · Atualizado 2026-05-28 · CVE-2026-7263

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas PHP versões 8.4.0 até 8.4.20 PHP versões 8.5.0 até 8.5.5

Description O método DOMNode::C14N() pode processar dados XML incorretamente, levando à criação de uma lista encadeada circular na estrutura de dados que representa o documento XML. Essa falha pode fazer com que o processamento subsequente do documento entre em um loop infinito, resultando em negação de serviço para a aplicação.

Recommendations Atualizar a versão do PHP 8.4.x para 8.4.21. Atualizar a versão do PHP 8.5.x para 8.5.6. Como medida paliativa temporária, restrinja o uso do método DOMNode::C14N() ao processar dados XML não confiáveis.

Correção

DoS

Infinite Loop

Improper Resource Release

Enumeração de Fraquezas

CWE-835

CWE-404

Identificadores relacionados

BIT-LIBPHP-2026-7263

BIT-PHP-2026-7263

BIT-PHP-MIN-2026-7263

CVE-2026-7263

OPENSUSE-SU-2026:10747-1

USN-8336-1

Produtos afetados

Php

Referências · 37

• https://github.com/php/php-src/security/advisories/GHSA-4jhr-8w89-j733 · Aviso do Fabricante
• https://github.com/php/php-src/commit/d43c523c48960e9ca0bf9c747e9bad8e5121edff · Nota
• https://osv.dev/vulnerability/BIT-php-2026-7263 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2025-14179 · Aviso do Fabricante
• https://t.me/CVEtracker/53283 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2026-6735 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-7263 · Nota de Segurança
• https://twitter.com/CVEnew/status/2053537480645972350 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2026-7259 · Nota
• https://ubuntu.com/security/CVE-2026-6722 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-6104 · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-8336-1 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-6722 · Nota
• https://osv.dev/vulnerability/BIT-libphp-2026-7263 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-7263 · Nota