CVE-2026-109618、CVE-2026-109619，CVSS v4.0 PHP 高危漏洞

PHP 安全团队昨日（10 月 20 日）发布公告，宣布将于协调世界时 10 月 21 日 14 点（北京时间 21 日 22 点）发布重磅安全更新，修复 CVE-2026-109618 和 CVE-2026-109619 两个严重漏洞。

根据官方公告，上述两个漏洞在 CVSS v4.0 体系中均评为 9.2 分，属于“严重”级别；安全公司 watchTowr 则确认，这两个漏洞是 PHP 中的零日远程代码执行（RCE）漏洞。

CVE-2026-109618：内存耗尽（OOM）处理不当

该漏洞源于 PHP 在内存耗尽时中断请求处理，但部分内部请求数据尚未完全初始化，清理例程随后可能将无效数据当作有效数据处理，造成内存破坏，最终可被用于远程代码执行。

该漏洞涉及 PHP 的全局状态在请求内存释放后未被正确重置，或重置后又被重新填充。后续请求可能在该状态完全初始化之前读取到过期的残留数据。多种策略均可触发此条件，并产生远程代码执行。

修复版本 PHP 官方已在以下版本中修复了这两个漏洞：

分支修复版本