根本原因是php底层内存管理缺陷：cve-2026-109618和cve-2026-109619分别因oom异常路径清理缺失与全局状态重置失效，导致释放后使用和状态残留，攻击者可通过连续特制http请求触发远程代码执行，影响php 8.5.x及所有基于其的web应用。
根本原因在于 PHP 运行时自身处理请求过程中的内存管理缺陷，不是业务代码写得不好，也不是配置疏忽，而是底层引擎在特定条件下会跳过关键清理步骤。
内存超限后未完成清理
当单个请求使用的内存超过设定上限时，PHP 会立即中止当前处理流程，但中止动作发生在“中间状态”——部分内存区域尚未被清空或重置。后续的请求复用这块内存时，残留数据可能被错误解析为可执行内容。
请求复用机制被恶意利用
PHP 的工作进程（如 FPM worker）默认会复用同一块内存空间处理多个请求。攻击者通过构造两个连续请求：第一个故意触发内存超限并留下可控数据；第二个请求恰好复用该内存区域，使残留数据被当作指令执行。
漏洞触发不依赖应用逻辑
这个过程发生在 PHP 解析请求、分发给业务代码之前。这意味着无论你用的是 Laravel、ThinkPHP 还是自研框架，只要底层 PHP 版本受影响，且服务暴露在公网，风险就真实存在。
官方确认的受影响版本范围
PHP 8.5.x PHP 8.4.x PHP 8.3.x PHP 8.2.x 8.1 及更早版本已停止维护，不再接收安全更新
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
