请求在 memory_limit 恰好耗尽时留下未初始化内部数据并被后续当作有效数据，造成内存破坏。apache mod_php 下未认证请求即可在应用代码执行前触发，默认配置下已演示完整 rce。（本次核验：nvd rest api 显示该条目状态 analyzed、lastmodified 2026-11-05，cvss v4.0 9.2 critical、cvss v3.1 9.8 critical，cwe-416 / 755 / 824 / 1325。）
关键信息一览
- 情报类目：安全漏洞（重要级别：紧急）
- 发布日期：2026-10-21 核验状态：已官方确认
- 关联编号：CVE-2026-109618 / GHSA-w8hw-w9fx-j79w
- 影响范围：8.2 / 8.3 / 8.4 / 8.5 全部分支
- 来源机构：php/php-src Security Advisories（官方一手）
建议动作
立即升级至 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35；官方称无完整缓解措施，升级是唯一安全选择
来源
本文依据官方及权威渠道信息整理，原始出处：https://www.php.cn/link/5acd49a1a473bb34f61acbc9699db2f6
