10 月 21 日的关键 rce 公告里有一条对老系统特别重要的信息：php 8.1 及更早版本已不再接收 php 项目更新，但鉴于漏洞严重性，官方为 php 7.4、8.0、8.1 这三个 eol 分支提供了两个严重 rce 的最小源码 backport，供自行编译或向 lts 供应商索取；linux 发行版与 lts 供应商已提前收到补丁。
▲ 事件来源页面实时截图：php.net 官方安全公告
官方的缓解清单
无法立即升级时的部分缓解：memory_limit=-1、降低 post_max_size、session.upload_progress.enabled=0、PHP 8.5 设 fatal_error_backtraces=0。公告同时强调只有升级才是完整方案。
给 EOL 用户的路径
优先升级到 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12；实在不能升级，用官方 backport 自行编译并建立重新编译的例行流程。来源：www.php.net/archive/2026.php#2026-10-21-5
给 EOL 分支的「最小 backport」
官方为 7.4 / 8.0 / 8.1 三个已结束支持的分支提供了针对两个 RCE 的最小源码 backport：只包含修复本身，不含测试与周边重构，需自行编译。这是官方对仍在使用旧分支的环境给出的过渡手段，而非恢复支持。
自行编译的注意点
先核对补丁与目标版本的上下文是否完全匹配；编译后用最小复现用例验证漏洞已修复；保留原二进制以便快速回滚。更稳妥的做法仍是把服务迁移到受支持分支，因为 backport 只覆盖这两个漏洞，不覆盖未来的问题。
修复补丁（官方提交）
该问题由 php-src 官方提交 3584a98bda0f 修复（2026-10-18），提交说明为「Avoid state corruption via bailout」。改动涉及 5 个源码/测试文件，核心变更如下：
Zend/zend.c
@@ -737,6 +737,8 @@ static void compiler_globals_ctor(zend_compiler_globals *compiler_globals) /* {{
compiler_globals->map_ptr_base = ZEND_MAP_PTR_BIASED_BASE(base);
memset(base, 0, compiler_globals->map_ptr_last * sizeof(void*));
}
+
+ compiler_globals->interned_strings_fallible = false;
}
/* }}} */
@@ -809,6 +811,7 @@ static void executor_globals_ctor(zend_executor_globals *executor_globals) /* {{
executor_globals->pid = 0;
executor_globals->oldact = (struct sigaction){0};
#endif
+ memset(&executor_globals->delayed_oom, 0, sizeof(executor_globals->delayed_oom));
}
/* }}} */
@@ -1307,6 +1310,8 @@ ZEND_API void zend_deactivate(void) /* {{{ */
zend_map_ptr_reset();
}
+ zend_mm_oom_info_dtor(&EG(delayed_oom));
+
#if GC_BENCH
fprintf(stderr, "GC Statistics\n");
fprintf(stderr, "-------------\n");
▲ 补丁片段摘自 php-src 官方仓库该提交
完整补丁与测试用例可在 php-src 仓库该提交页面查看：https://github.com/php/php-src/commit/3584a98bda0f2c0d367255b046798b0d3a221a19
▲ 官方索引页截图
▲ 官方修复提交页面截图
关键信息
| 项目 | 内容 |
|---|---|
| 类目 | 补丁修复 |
| 级别 | 高 |
| 日期 | 2026-10-21 |
| 关联编号 | CVE-2026-109618 / CVE-2026-109619 / PHP 7.4-8.1 backport |
| 影响范围 | PHP 7.4 / 8.0 / 8.1（EOL 分支） |
| 核验状态 | 已官方确认 |
| 修复提交 | 3584a98bda0f（php-src） |
来源：https://www.php.net/archive/2026.php#2026-10-21-5
