PHP 发布安全更新，以及我们如何加强 PHP 安全
Today's PHP Security Release, and How We're Strengthening PHP Security
AI 导读
PHP 项目发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两个在特定条件下可让未认证攻击者远程执行代码的严重漏洞。CVE-2026-109618 来自内存耗尽时残留的未初始化数据，CVE-2026-109619 来自致命错误后指向上一请求内存的旧状态，两者都位于内存管理与错误处理等核心路径。协调披露在发布前两天被提前泄露，CVE 编号伴随错误的 CVSS 10.0 传播（实际 9.2），Chainguard 又在 10 月 21 日协调发布前六小时发布含修复的镜像。PHP Foundation 称 2024 年外部审计已发现 OOM 问题线索，2026 年 Calif、OpenAI 和 Wiz 的报告确认了完整影响，AI 辅助研究也令报告数量上升。
阅读原文