Platform
php
Component
protobuf/protobuf
Opgelost in
5.34.0-RC1
4.33.6
CVE-2026-6409 is een Denial of Service (DoS) kwetsbaarheid in de Protobuf PHP bibliotheek. Door het verwerken van onbetrouwbare invoer, zoals kwaadaardig opgebouwde berichten met negatieve varints of diepe recursie, kan de applicatie crashen, wat de beschikbaarheid van de dienst beïnvloedt. Deze kwetsbaarheid treft versies van Protobuf-php tussen 0.0.0 en 5.34.0-RC1. Een patch is beschikbaar in versie 5.34.0-RC1.
Er is een Denial-of-Service (DoS)-kwetsbaarheid gevonden in de Protobuf PHP-bibliotheek (Pecl) (CVE-2026-6409) tijdens het parsen van onbetrouwbare invoer. Kwaadaardig gestructureerde berichten – met name die met negatieve varints of diepe recursie – kunnen worden gebruikt om de applicatie te laten crashen, waardoor de beschikbaarheid van de service wordt aangetast. Een aanvaller kan deze zwakte uitbuiten om de normale werking van applicaties te verstoren die afhankelijk zijn van Protobuf PHP, wat leidt tot downtime en mogelijk gegevensverlies. De ernst van deze kwetsbaarheid ligt in de eenvoud van het maken van kwaadaardige berichten en de potentiële wijdverspreide impact op verschillende applicaties.
Het exploiteren van deze kwetsbaarheid vereist dat een aanvaller in staat is om de structuur van Protobuf-berichten te controleren die naar de applicatie worden verzonden. Dit kan gebeuren in scenario's waarin de applicatie berichten ontvangt van externe bronnen, zoals API's of webdiensten. Het maken van berichten met negatieve varints of diepe recursie vereist een basiskennis van het Protobuf-berichtformaat. De impact van de exploitatie kan variëren, afhankelijk van de applicatiearchitectuur en de systeembelasting.
Applications utilizing Protobuf-php to process untrusted data are at risk. This includes services that receive Protocol Buffer messages from external sources, such as APIs or user uploads. Specifically, applications with legacy Protobuf-php configurations or those lacking robust input validation are particularly vulnerable.
• php / server:
find /var/www/html -name 'protobuf-php' -type d• php / server:
ps aux | grep 'Protobuf-php' | grep -v grep• generic web: Check application logs for errors related to Protocol Buffer parsing or unexpected crashes around the time of the vulnerability disclosure.
disclosure
Exploit Status
EPSS
0.09% (25% percentiel)
CISA SSVC
Om het risico dat aan CVE-2026-6409 verbonden is te beperken, wordt ten zeerste aanbevolen de Protobuf PHP-bibliotheek bij te werken naar versie 5.34.0-RC1 of 4.33.6. Deze versies bevatten fixes die de DoS-kwetsbaarheid aanpakken. Als tijdelijke maatregel, overweeg om de blootstelling van de applicatie aan onbetrouwbare invoer te beperken en een strenge invoervalidatie uit te voeren voordat u gegevens met Protobuf PHP verwerkt. Het monitoren van applicatielogs op ongebruikelijk gedrag kan ook helpen om potentiële exploitatiepogingen te detecteren.
Actualice la biblioteca Protobuf-php a la versión 5.34.0-RC1 o superior para mitigar la vulnerabilidad de denegación de servicio. Asegúrese de probar la nueva versión en un entorno de desarrollo antes de implementarla en producción. Esta actualización aborda el problema al mejorar el manejo de mensajes protobuf maliciosos.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Protobuf PHP is een bibliotheek voor PHP die Google's Protocol Buffers implementeert, een efficiënt en platformonafhankelijk gegevensserialisatiemechanisme.
Als u Protobuf PHP gebruikt, controleer dan de geïnstalleerde versie. Als deze ouder is dan 5.34.0-RC1 of 4.33.6, is deze kwetsbaar.
Als tijdelijke maatregel, valideer invoergegevens strikt en beperk de blootstelling aan onbetrouwbare bronnen.
Nee, er is momenteel geen KEV beschikbaar voor CVE-2026-6409.
Raadpleeg de officiële Protobuf PHP-documentatie en relevante beveiligingsbronnen voor updates en aanvullende details.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.