タグ：RCE

2026-10-21 のもう一つの重大脆弱性 CVE-2026-109619（CVSS 4.0 9.2）。リクエストヒープ解放後も worker が古いグローバル状態を持つ。セッションのアップロード進捗経路は mod_php と FPM で RCE が検証済み。

Node.js 公式（2026-10-21）：CVE-2026-111497 は high。Brotli デコーダの範囲外書き込みがリモートコード実行を許す。26.x / 24.x / 22.x が対象。修正は 26.12.1、24.22.1、22.23.4。

PHP 公式（2026-10-21）：CVE-2026-109618（CVSS 4.0 9.2）。OOM が初期化途中のリクエストを中断し、mod_php では未認証 RCE が実証済み。修正は 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。