内存耗尽导致的损坏
CVE-2026-109618 涉及内存不足时 PHP 的提前退出机制。未完整初始化的请求内存仍可被引用，随后在清理阶段被使用。补丁以新的软硬内存处理机制替代不安全的退出模式。mod_php 已验证完整未认证 RCE。官方认为 FPM 存在应用相关风险，但没有宣称此 CVE 已有完整 FPM 利用演示。
PHP-FPM 可以豁免吗？
不可以。两个漏洞在不同 SAPI 中的利用条件不同。FPM 在请求启动失败时终止子进程，可阻止部分启动阶段的序列，但不消除应用执行阶段及跨请求路径。既不要认为所有架构都与 mod_php 演示完全一致，也不能据此省略 FPM 补丁。
谨慎调整内存设置
PHP 官方将管理层强制 memory_limit=-1 作为应对可控 PHP 内存限制错误的不完整临时措施；底层分配失败仍可进入漏洞路径。需使用容器或 cgroup 独立控制资源，降低可用性影响。不可改用 RLIMIT_AS 或 RLIMIT_DATA。应限制解码后的请求大小、multipart 头数、嵌套和分段数量；仅调低 post_max_size 仍不完整。
2. 安装含补丁的构建
首个修复版本为 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。选择当前受支持分支或兼容的新分支，同步升级扩展，并测试应用兼容性与健康检查。从 PHP 或对应厂商渠道获取构建；CMS 更新和 WAF 规则均不能代替解释器补丁。
| PHP 分支 | 低于此版本的上游发行版 | 首个修复版本 | 安全支持结束 |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 2029年12月31日 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 2028年12月31日 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 2027年12月31日 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 2026年12月31日 |
仍在使用 PHP 8.1 或更早版本？
这些分支不会获得 PHP 项目常规版本更新。7.4、8.0、8.1 有最小源码回移植；厂商补丁状态需单独核实。 阅读指南 ↗
一手来源与延伸阅读
PHP security teamSecurity advisory · 21 Oct 2026
CVE-2026-109618GHSA-w8hw-w9fx-j79w · OOM corruption
CVE-2026-109619GHSA-6wmf-4rv5-p3rp · Stale global state