Se descubrió una falla en el componente EXIF de PHP en versiones anteriores a 7.1.27, 7.2.x anteriores a 7.2.16 y 7.3.x anteriores a 7.3.3. El problema es una lectura de memoria no inicializada (CWE-908) en la función exif_process_IFD_in_TIFF, que se activa al procesar archivos TIFF con metadatos EXIF malformados.
El impacto real es alto: CVSS 9.8 y un 9,4% de probabilidad de explotación en los próximos 30 días (percentil 95). Shodan tiene más de un millón de hosts expuestos con este CVE detectado, y GitHub lo clasifica como crítico. Afecta a PHP y a distribuciones que lo empaquetan, como Ubuntu, Debian, openSUSE y productos de NetApp. La mitigación es actualizar a las versiones corregidas.
| CVE | CVE-2019-9641 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 9.4% en 30 días (percentil 95) |
| CWE | CWE-908 |
| Exposición (Shodan) | 1.046.011 host(s) expuesto(s) en internet ahora mismo |
Productos afectados (catálogo NVD)
canonical/ubuntu_linuxdebian/debian_linuxnetapp/storage_automation_storeopensuse/leapphp/php