فیس‌بوک دو آسیب‌پذیری با شدت بالا را در برنامه‌ی سرور خود وصله کرده است که به مهاجمان راه دور اجازه می‌داد تا به‌صورت غیرمجاز به اطلاعات حساس دست یابند و یا تنها با بارگذاری یک فایل تصویری JPEG مخرب منجر به ایجاد شرایط منع سرویس شوند.
این آسیب‌پذیری‌ها در HHVM وجود دارد که یک ماشین مجازی متن‌باز با عملکرد بالا است که توسط فیس‌بوک برای اجرای برنامه‌های نوشته‌شده در پی‌اِچ‌پی و زبان‌های برنامه‌نویسی هک توسعه یافته است. HHVM از یک رویکرد تلفیقی just-in-time (JIT) برای دست‌یابی به عملکرد بهتر کد پی‌اِچ‌پی و هک استفاده می‌کند که انعطاف‌پذیری توسعه را که زبان پی‌اِچ‌پی ارائه می‌دهد، حفظ می‌کند.
از آن‌جا که برنامه‌ی سرور HHVM آسیب‌دیده متن‌باز و رایگان است، ممکن است هر دو مسأله وب‌گاه‌های دیگری را که از HHVM استفاده می‌کنند، ازجمله ویکی‌پدیا، Box و به‌طور خاص وب‌گاه‌هایی که به کاربران خود اجازه می‌دهند تا تصاویر را در سرور بارگذاری کنند، تحت تأثیر قرار دهد.
هر دو آسیب‌پذیری زیر به دلیل سرریز حافظه‌ی احتمالی در افزونه‌ی GD مربوط به HHVM و زمانی که یک ورودی JPEG نامعتبر خاص ارسال می‌شود، به وجود می‌آیند و منجر به یک آسیب‌پذیری خواندن خارج از محدوده می‌شوند که به یک برنامه‌ی مخرب اجازه می‌دهد تا داده‌ها را از خارج از محدوده‌ی حافظه‌ی اختصاص داده شده بخواند.
CVE-2019-11925: مسائل بررسی نامناسب محدوده، هنگام پردازش نشانگر بلاک JPEG APP12 در افزونه‌ی GD اتفاق می‌افتد و به مهاجمان بالقوه اجازه می‌دهد تا از طریق یک ورودی JPEG نامعتبر مخرب به حافظه‌ی خارج از محدوده دسترسی پیدا کنند.
CVE-2019-11926: مسائل بررسی محدوده‌ی نامناسب، هنگام پردازش نشانگر M_SOFx از هدرهای JPEG در افزونه‌ی GD اتفاق می‌افتد و به مهاجمان بالقوه اجازه می‌دهد تا از طریق یک ورودی JPEG نامعتبر مخرب به حافظه‌ی خارج از محدوده دسترسی پیدا کنند.
هر دوی این آسیب‌پذیری‌ها همه‌ی نسخه‌های پشتیبانی‌شده‌ی HHVM قبل از نسخه‌ی ۳٫۳۰٫۹ و همه‌ی نسخه‌های بین HHVM 4.0.0 و ۴٫۸٫۳، همه‌ی نسخه‌های بین HHVM 4.9.0 و ۴٫۱۵٫۲، و HHVM نسخه‌های ۴٫۱۶٫۰ تا ۴٫۱۶٫۳، ۴٫۱۷٫۰ تا ۴٫۱۷٫۲، ۴٫۱۸٫۰ تا ۴٫۱۸٫۱، ۴٫۱۹٫۰، ۴٫۲۰٫۰ تا ۴٫۲۰٫۱ را تحت تأثیر قرار می‌دهد.
گروه HHVM این آسیب‌پذیری‌ها را با انتشار HHVM نسخه‌های ۴٫۲۱٫۰، ۴٫۲۰٫۲، ۴٫۱۹٫۱، ۴٫۱۸٫۲، ۴٫۱۷٫۳، ۴٫۱۶٫۴ و ۴٫۱۵٫۳، ۴٫۸٫۴ و ۳٫۳۰٫۱۰ رفع کرده است. به کاربرانی که وب‌گاه یا سرور آن‌ها از HHVM استفاده می‌کند، به‌شدت توصیه می‌شود تا آن را به آخرین نسخه‌ی نرم‌افزار به‌روزرسانی کنند.
