La fiche CVE officielle n’est pas encore publiée
Publié d’après l’avis de l’éditeur. Remplacé par la fiche CVE.org / NVD dès sa publication.
Failure to setup TLS with a remote server can result in a remote DoS
Résumé
Summary
In php_stream_url_wrap_http_ex, when TLS crypto setup fails (via php_stream_xport_crypto_setup or php_stream_xport_crypto_enable), the stream is closed and reset to NULL.
However, the subsequent peer name cleanup block unconditionally tries to reset the peer name.
This is tr...
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
PHPのHTTPストリーム処理で、TLS設定に失敗した際にピア名のクリーンアップ処理が不正に行われ、遠隔からサービス拒否(DoS)を引き起こされるおそれがあります。影響を受けるのはfpmプロセス全体とその全ワーカーで、悪用に特別な細工は不要とされています。修正パッチが公開されていますが、対象となる版と修正版の詳細は最新の情報を確認してください。
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-12184 php8.4 Corrigé dans: 8.4.21-1~deb13u1
- Ubuntu UBUNTU-CVE-2026-12184 php8.4
Description d'origine La description telle que publiée par la source (souvent en anglais).
Summary
In php_stream_url_wrap_http_ex, when TLS crypto setup fails (via php_stream_xport_crypto_setup or php_stream_xport_crypto_enable), the stream is closed and reset to NULL.
However, the subsequent peer name cleanup block unconditionally tries to reset the peer name.
This is triggerable via a failure to validate the peer name or an expired certificate.
As demonstrated by https://github.com/php/php-src/issues/21468 this is triggerable without requiring specially-crafted code, and with a remote server.
Details
Patch available via https://github.com/php/php-src/pull/21031
Impact
The impact is a remotely-triggerable DoS bringing the entire fpm process down with all its workers.
Additional Information
This was first discovered by a hybrid static-dynamic analyzer I'm developing.
Source: GitHub Repository Security Advisories (Game のスタック) NVD GitHub Advisory
Références
- GITHUB_REPO_ADVISORY php/php-src