同一个 10 月 21 日安全发布中的另一个严重漏洞 cve-2026-109619，问题出在错误处理时点上：致命错误发生在错误的时点时，内部状态会指向上一份请求的内存，同一 worker 的后续请求直接复用已释放的内存区域。官方已经确认了 uaf（释放后使用）与 worker 崩溃两种后果，并针对 apache mod_php 上的真实应用完成了 rce 演示。
▲ 事件来源页面实时截图：php/php-src Security Advisories
为什么它是 critical
NVD 对该条目的分析记录显示其为 Analyzed 状态，CVSS v4.0 评分 9.2 CRITICAL、v3.1 评分 8.1 HIGH，关联 CWE-416（释放后使用）等多个弱点类型。与 CVE-2026-109618 同批修复，官方建议两项都按最高优先级处理。
处置建议
立即升级至 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。官方同时提示 session.upload_progress 相关缓解措施只能降低风险，不能替代升级；EOL 分支用户使用官方最小源码 backport。
被复用的「上一份请求」内存
PHP 的错误、会话、对象与扩展状态会在 worker 进程里长期保留，但它们指向的内存属于某一个具体请求。正常流程会在释放请求内存前重置这些状态；而部分输入解析、配置读取、会话与错误处理操作发生在常规初始化之前，一旦此时出错，重置就被跳过，指向已释放或未初始化内存的全局状态会留给同一 worker 的下一个请求。攻击者因此可以反复「喂养」同一个 worker，把不可信内存变成可控数据。
为什么它比一般 UAF 更危险
传统 use-after-free 需要精确的堆布局配合，而这里的内存复用是确定性的：同一 worker 连续处理请求，前一份请求的残留必然被后一份读到。官方因此将其与 CVE-2026-109618 并列 CVSS 9.2。处置上与 109618 完全一致——升级是唯一完整解法，7.4/8.0/8.1 等 EOL 分支可用官方最小 backport 自行编译。
修复补丁（官方提交）
该问题由 php-src 官方提交 3584a98bda0f 修复（2026-10-18），提交说明为「Avoid state corruption via bailout」。改动涉及 5 个源码/测试文件，核心变更如下：
Zend/zend.c
@@ -737,6 +737,8 @@ static void compiler_globals_ctor(zend_compiler_globals *compiler_globals) /* {{
compiler_globals->map_ptr_base = ZEND_MAP_PTR_BIASED_BASE(base);
memset(base, 0, compiler_globals->map_ptr_last * sizeof(void*));
}
+
+ compiler_globals->interned_strings_fallible = false;
}
/* }}} */
@@ -809,6 +811,7 @@ static void executor_globals_ctor(zend_executor_globals *executor_globals) /* {{
executor_globals->pid = 0;
executor_globals->oldact = (struct sigaction){0};
#endif
+ memset(&executor_globals->delayed_oom, 0, sizeof(executor_globals->delayed_oom));
}
/* }}} */
@@ -1307,6 +1310,8 @@ ZEND_API void zend_deactivate(void) /* {{{ */
zend_map_ptr_reset();
}
+ zend_mm_oom_info_dtor(&EG(delayed_oom));
+
#if GC_BENCH
fprintf(stderr, "GC Statistics\n");
fprintf(stderr, "-------------\n");
▲ 补丁片段摘自 php-src 官方仓库该提交
完整补丁与测试用例可在 php-src 仓库该提交页面查看：https://github.com/php/php-src/commit/3584a98bda0f2c0d367255b046798b0d3a221a19
▲ 官方公告页配图
▲ 官方修复提交页面截图
关键信息
| 项目 | 内容 |
|---|---|
| 类目 | 安全漏洞 |
| 级别 | 紧急 |
| 日期 | 2026-10-21 |
| 关联编号 | CVE-2026-109619 / GHSA-6wmf-4rv5-p3rp |
| 影响范围 | 8.2 / 8.3 / 8.4 / 8.5 全部分支 |
| 核验状态 | 已官方确认 |
| 修复提交 | 3584a98bda0f（php-src） |
来源：https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
