PHP 将于 10 月 21 日发布两个严重漏洞修复，CVSS 9.2
PHP 安全团队于 2026 年 10 月 20 日发布预告，称将于协调世界时 2026 年 10 月 21 日 14:00（北京时间同日 22:00）推出严重安全版本，修复两枚严重漏洞，CVSS v4.0 评分均为 9.2。官方鼓励所有 PHP 用户提前做好准备，以便版本一经发布即可升级；并保留在漏洞细节公开、或出现野外利用证据时提前发布的权利。受影响版本与修复版本将随正式发布一并公布。
两枚漏洞成因不同。CVE-2026-109618 源于内存耗尽（out-of-memory）处理：PHP 可能在内部请求数据只初始化了一部分时被中断，随后的请求清理会把这些无效数据当作有效数据处理。CVE-2026-109619 源于过期的全局状态：属于某个请求的内部状态在其内存释放后仍可能残留，同一工作进程处理的下一个请求可能在正常初始化重置之前用到它。
（PHP.net）
PHP 安全团队于 2026 年 10 月 20 日发布预告，称将于协调世界时 2026 年 10 月 21 日 14:00（北京时间同日 22:00）推出严重安全版本，修复两枚严重漏洞，CVSS v4.0 评分均为 9.2。官方鼓励所有 PHP 用户提前做好准备，以便版本一经发布即可升级；并保留在漏洞细节公开、或出现野外利用证据时提前发布的权利。受影响版本与修复版本将随正式发布一并公布。
两枚漏洞成因不同。CVE-2026-109618 源于内存耗尽（out-of-memory）处理：PHP 可能在内部请求数据只初始化了一部分时被中断，随后的请求清理会把这些无效数据当作有效数据处理。CVE-2026-109619 源于过期的全局状态：属于某个请求的内部状态在其内存释放后仍可能残留，同一工作进程处理的下一个请求可能在正常初始化重置之前用到它。
（PHP.net）
