CVE-2026-6722

In PHP versions 8.2.* before 8.2.31, 8.3.* before 8.3.31, 8.4.* before 8.4.21, and 8.5.* before 8.5.6, the SOAP extension's object deduplication mechanism stores pointers to PHP objects in a global map without incrementing their reference counts. When an apache:Map node contains duplicate keys, processing the second entry overwrites the first in the temporary result map, freeing the original PHP object while its stale pointer remains in the map. A subsequent href reference to the freed node can copy the dangling pointer into the result. As PHP string allocations can reclaim the freed memory region, an attacker with control over the SOAP request body can exploit this use-after-free to achieve remote code execution.

En versiones de PHP 8.2.* anteriores a 8.2.31, 8.3.* anteriores a 8.3.31, 8.4.* anteriores a 8.4.21 y 8.5.* anteriores a 8.5.6, el mecanismo de deduplicación de objetos de la extensión SOAP almacena punteros a objetos PHP en un mapa global sin incrementar sus recuentos de referencia. Cuando un nodo apache:Map contiene claves duplicadas, el procesamiento de la segunda entrada sobrescribe la primera en el mapa de resultados temporal, liberando el objeto PHP original mientras su puntero obsoleto permanece en el mapa. Una referencia href posterior al nodo liberado puede copiar el puntero colgante en el resultado. Como las asignaciones de cadenas de PHP pueden reclamar la región de memoria liberada, un atacante con control sobre el cuerpo de la solicitud SOAP puede explotar este uso después de liberación para lograr ejecución remota de código.