PHP-Sicherheitsforscherin findet Double-Free-Bug, der noch in 8.5.12 zuschlägt

Potential third critical PHP CVE

Elise Amber Katze stieß in PHP 8.4.25 auf einen AddressSanitizer-Fehler vom Typ Double-Free und bestätigte ihn später auch in 8.5.10 und 8.5.12. Sie schließt aus, dass es sich um dieselbe Schwachstelle wie zuvor handelt, und meldet einen dritten potenziell kritischen Fall an [email protected] – mit einem PoC von nur drei Zeilen. Den Backtrace hat sie AES-verschlüsselt; die Schlüssel will sie erst nach dem Patch veröffentlichen.