Dans certaines compilations de FrankenPHP antérieures à 1.12.5, le mode worker peut conserver l’état de session PHP entre des requêtes et réutiliser un identifiant de session périmé ou appartenant à un autre client. Cela peut exposer des sessions, permettre une usurpation de session et provoquer des déconnexions intermittentes; les binaires et images Docker officiels avec l’extension liée statiquement ne sont pas concernés.
Source : NVD — CVE-2026-82416
Analyse technique
Dans cette configuration, frankenphp_reset_session_state() est omise à la compilation et PS(id) peut survivre à la fin d’une requête. Un appel ultérieur à session_start() peut alors ignorer le cookie de la nouvelle requête.
Impact, versions et correctif
Détection / vérification
Vérifier la version de FrankenPHP et si le module PHP session est chargé comme module partagé, plutôt que lié statiquement.
Action recommandée
Mettre à niveau vers FrankenPHP 1.12.5 ou ultérieur; à défaut, éviter la configuration de compilation affectée.
Sources
Priorisation DFS : P3 · 1 source(s).