CVE catalog

CVE-2026-6409

A Denial of Service (DoS) vulnerability exists in the Protobuf PHP library during the parsing of untrusted input. Maliciously structured messages—specifically those containing negative varints or deep

[CVE catalog]

Severity
High · CVSS 7.1CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Published
Source
[NVD] · [CVE record]
EPSS
0.36% · Oct 25, 2026

A Denial of Service (DoS) vulnerability exists in the Protobuf PHP library during the parsing of untrusted input. Maliciously structured messages—specifically those containing negative varints or deep recursion—can be used to crash the application, impacting service availability.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianprotobufsid3.21.12-17fixed
Debianprotobufforky3.21.12-17fixed
Debianprotobuftrixie3.21.12-11+deb13u1fixed
Debianprotobufbookworm3.21.12-3+deb12u1fixed
CpeprotobufNot reported3.21.12-3+deb12u1fixed
Ubuntuprotobuf24.043.21.12-7ubuntu1vulnerable
Ubuntuprotobuf24.043.21.12-8ubuntu1vulnerable
Ubuntuprotobuf24.043.21.12-8ubuntu5vulnerable
Ubuntuprotobuf24.043.21.12-8.2vulnerable
Ubuntuprotobuf24.043.21.12-8.2build1vulnerable
Ubuntuprotobuf24.043.21.12-8.2ubuntu0.1vulnerable
Ubuntuprotobuf24.043.21.12-8.2ubuntu0.2vulnerable
Ubuntuprotobuf24.043.21.12-8.2ubuntu0.3vulnerable
Ubuntuprotobuf24.043.21.12-8.2ubuntu0.4fixed
Ubuntuprotobuf26.043.21.12-11ubuntu3vulnerable
Ubuntuprotobuf26.043.21.12-14vulnerable
Ubuntuprotobuf26.043.21.12-14build1vulnerable
Ubuntuprotobuf26.043.21.12-15vulnerable
Ubuntuprotobuf26.043.21.12-15ubuntu1vulnerable
Ubuntuprotobuf26.043.21.12-15ubuntu1.1fixed
Ubuntuprotobuf24.043.21.12-7ubuntu1vulnerable
Ubuntuprotobuf24.043.21.12-8ubuntu1vulnerable
Ubuntuprotobuf24.043.21.12-8ubuntu5vulnerable
Ubuntuprotobuf24.043.21.12-8.2vulnerable
Ubuntuprotobuf24.043.21.12-8.2build1vulnerable
Ubuntuprotobuf24.043.21.12-8.2ubuntu0.1vulnerable
Ubuntuprotobuf24.043.21.12-8.2ubuntu0.2vulnerable
Ubuntuprotobuf24.043.21.12-8.2ubuntu0.3vulnerable
Ubuntuprotobuf24.043.21.12-8.2ubuntu0.4vulnerable
Ubuntuprotobuf25.103.21.12-10build2vulnerable
Ubuntuprotobuf25.103.21.12-11vulnerable
Ubuntuprotobuf25.103.21.12-11ubuntu1vulnerable
Ubuntuprotobuf25.103.21.12-11ubuntu3vulnerable
Ubuntuprotobuf25.103.21.12-11ubuntu3.1vulnerable
Ubuntuprotobuf26.043.21.12-11ubuntu3vulnerable
Ubuntuprotobuf26.043.21.12-14vulnerable
Ubuntuprotobuf26.043.21.12-14build1vulnerable
Ubuntuprotobuf26.043.21.12-15vulnerable
Ubuntuprotobuf26.043.21.12-15ubuntu1vulnerable
Ubuntuprotobuf26.043.21.12-15ubuntu1.1vulnerable

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianprotobufsourcesid3.21.12-16not yet assignedNot reported[1134895]
Debianprotobufsourceforky3.21.12-16not yet assignedNot reported[1134895]
Debianprotobufsourcetrixie3.21.12-11+deb13u1not yet assignedNot reported[1134895]
Debianprotobufsourcebookworm3.21.12-3+deb12u1not yet assignedNot reported[1134895]
CpeprotobufcpeNot reported3.21.12-3+deb12u1Not reportedNot reportedNot reported
Ubuntuprotobufdeb24.043.21.12-8.2ubuntu0.4Not reportedUSN-8943-1Not reported
Ubuntuprotobufdeb26.043.21.12-15ubuntu1.1Not reportedUSN-8943-1Not reported

[Debian bug #1134895]

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [elpa-protobuf-mode]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-3+deb12u1 · all · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

    • 3.21.12-3+deb12u1 · all · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

  • [libprotobuf32]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-3+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

    • 3.21.12-3+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

  • [libprotobuf-dev]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-3+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

    • 3.21.12-3+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

  • [libprotobuf-java]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-3+deb12u1 · all · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

    • 3.21.12-3+deb12u1 · all · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

  • [libprotobuf-lite32]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-3+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

    • 3.21.12-3+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

  • [libprotoc32]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-3+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

    • 3.21.12-3+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

  • [libprotoc-dev]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-3+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

    • 3.21.12-3+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

  • [php-google-protobuf]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-3+deb12u1 · all · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

    • 3.21.12-3+deb12u1 · all · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

  • [protobuf-compiler]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-3+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

    • 3.21.12-3+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

  • [python3-protobuf]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-3+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

    • 3.21.12-3+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

  • [ruby-google-protobuf]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-3+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

    • 3.21.12-3+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 3.21.12-3+deb12u1

      nvd · protobuf · debian · bookworm; nvd · protobuf · debian · 12

[Debian 13 (Trixie)]

  • [elpa-protobuf-mode]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-11+deb13u1 · all · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

    • 3.21.12-11+deb13u1 · all · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

  • [libprotobuf32t64]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-11+deb13u1 · amd64 · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

    • 3.21.12-11+deb13u1 · arm64 · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

  • [libprotobuf-dev]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-11+deb13u1 · amd64 · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

    • 3.21.12-11+deb13u1 · arm64 · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

  • [libprotobuf-java]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-11+deb13u1 · all · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

    • 3.21.12-11+deb13u1 · all · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

  • [libprotobuf-lite32t64]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-11+deb13u1 · amd64 · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

    • 3.21.12-11+deb13u1 · arm64 · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

  • [libprotoc32t64]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-11+deb13u1 · amd64 · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

    • 3.21.12-11+deb13u1 · arm64 · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

  • [libprotoc-dev]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-11+deb13u1 · amd64 · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

    • 3.21.12-11+deb13u1 · arm64 · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

  • [php-google-protobuf]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-11+deb13u1 · all · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

    • 3.21.12-11+deb13u1 · all · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

  • [protobuf-compiler]Fixed

    Source package: [protobuf]

    Details (2)

    • 3.21.12-11+deb13u1 · amd64 · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

    • 3.21.12-11+deb13u1 · arm64 · trixie

      Fixed · Fixed: 3.21.12-11+deb13u1

      nvd · protobuf · debian · 13

Next results

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database]