发生了什么
10 月 21 日，PHP 项目发布 8.5.12、8.4.27、8.3.36、8.2.35 四个安全版本，修复两个位于引擎核心的内存安全漏洞：CVE-2026-109618（内存耗尽导致的状态损坏）与 CVE-2026-109619（请求间残留的全局状态），CVSS v4.0 均为 9.2。风险最高的是 Apache + mod_php 部署方式——一个未认证请求就能在任何应用代码执行之前触发漏洞，默认配置下已被演示出完整远程代码执行；PHP-FPM、php-cgi、FrankenPHP、LiteSpeed 也在影响范围内。PHP 官方措辞直接：不存在完整的缓解手段，升级是唯一安全的选择。
发布比原计划提前了一天。10 月 20 日 15:00 UTC，两个 CVE 编号在论坛和社交平台上开始流传，并附带了错误的 10.0 分和错误的发布时间；PHP 在当晚 19:30 UTC 发出预公告，把发布从 22 日 14:00 UTC 挪到 21 日。之后披露纪律继续失守：报告方之一 Calif 误发了一段概念验证视频（删除后仍在社交平台流传），Chainguard 在协调发布前六小时多单方面推送了含补丁的镜像。
特殊之处：模型在两端都被署名
据 PHP Foundation 的复盘时间线，安全公司 Calif 在 OpenAI 的 Patch the Planet 计划下于 7 月 30 日开始审计 PHP，8 月 11 日由研究员 Ryan A 报告了一个无条件远程代码执行；OpenAI 同日独立报告了同一根因，9 月 18 日又补充了更多攻击路径。Wiz Research 走的是另一条路线，8 月 19 日发现、8 月 24 日报告，工具组合是自研 Wiz Atlas 加上 Gemini 4 Argon 与 GPT-5.6 Sol。OpenAI 称之为「近年最具影响力的安全问题之一」，并提出 Defender's Window（防御者窗口）概念：前沿模型这次跑在攻击者前面，为维护者争取了修复与部署防护的时间。Wiz 的表述更具体：一名研究员约一周完成了过去需要世界级团队数月的工作。
- 受影响范围回溯至 PHP 5.4（2012 年），近十年发布的版本至少命中其中一个漏洞
- 已演示未认证 RCE 的目标包括 WordPress 7.1.2、Drupal 11.4.3、Joomla 6.1.4、MediaWiki 1.46.2、Magento 2.4.9、phpMyAdmin 5.2.3、Nextcloud 35.0.1、Laravel 13.11、Symfony 8.1
- 除代码执行外，还可读取 worker 内存，泄露密码、认证令牌、API key 与证书
- Palo Alto Unit 42 依据 Xpanse 遥测估算，暴露在互联网的潜在受影响实例超过 2260 万个
更值得记的细节：2024 年就看到了征兆
PHP Foundation 的复盘给出了一个不太体面的因果链。2024 年 PHP 开展多年来首次外部安全审计（Quarkslab 执行、OSTIF 组织、德国 Sovereign Tech Agency 出资），核心开发者在修复另一问题时已发现 OOM 问题的最初迹象，也推演过潜在利用方式，但找不到具体攻击路径。修复方案有多个竞争版本，各有代价：破坏向后兼容、引入新的拒绝服务面、或要求大量第三方扩展同步改动。共识制决策加上深谙引擎内部的人力不足，让这项工作在数月内反复停滞又重启。基金会的原话是，延迟是「结构性失败」，由安全团队的决策流程与资源不足共同造成。
企业侧的处置顺序
- 先确认真正对外服务的那个 PHP：容器基础镜像、FPM 池、mod_php 模块要分别核对，插件与应用的补丁不解决这个问题
- 升级到 8.5.12、8.4.27、8.3.36、8.2.35；7.4、8.0、8.1 已停止支持，官方给了最小源码 backport；8.2 将于 2026 年 12 月 31 日 EOL
- mod_php 主机优先级最高。Red Hat 对标准 RHEL 构建把 OOM 缺陷评为 Important 而非 critical（FPM worker 常在触及损坏状态前退出），这是排序依据，不是等待理由
- 确实无法立即升级时，AWS、微软、谷歌云、Cloudflare、Akamai、Fastly、Imperva、Automattic、Vercel 已提供带外缓解与配置指引
- 排查特征：异常 multipart 请求伴随内存超限与 500 响应、异常偏大或畸形的 PHPSESSID 响应 cookie、worker 无故重启；打补丁后仍需检查是否已被植入 webshell
不确定之处
概念验证代码已在网络流传，Cloudflare CTO 表示观察到早期攻击迹象，但 CISA 在披露时称尚未观察到在野利用，该漏洞也未被列入 KEV 目录，实际被大规模利用的程度仍需后续数据。另需注意两方口径差：Calif 明确表示没有哪个模型靠简单提示词就能挖出「所有漏洞」，PHP 团队自 7 月 1 日以来发布 15 个 CVE、同时处理了 100 多份无效、重复或不可复现的报告——发现成本在下降，判断与修复合成的成本没有。