PHP에서 또 다른 치명적 취약점 발견, 3줄 PoC로 double-free 재현

Potential third critical PHP CVE

보안 연구자 Elise가 PHP 8.4.25와 8.5.12에서 AddressSanitizer가 잡아내는 double-free를 발견하고 [email protected]에 제보했다. 기존 취약점과 별개의 문제로 보이며, 3줄짜리 PoC와 몇 문장의 설명만으로 재현될 만큼 단순하다. 패치 전 공개를 피하려 백트레이스는 AES로 암호화했고, 키는 패치 후 공개할 예정이다.