今天早些时候，PHP项目发布了PHP 8.5.12、8.4.27、8.3.36和8.2.35。这些版本修复了两个严重漏洞，在特定条件下，未经认证的攻击者可借此在运行PHP的服务器上执行代码。所有运行PHP的用户都应立即更新。php.net上的官方公告包含技术细节和更新说明。
第一个漏洞CVE-2026-109618涉及内存耗尽（OOM）情况。如果请求恰好在PHP的memory_limit被触发的时刻到达，PHP可能会留下部分初始化的内部数据，这些数据随后被当作有效数据使用，从而破坏内存。在使用mod_php的Apache上，未经认证的请求可在任何应用代码运行之前触发该漏洞；在默认设置下，已演示出完整的远程代码执行。第二个漏洞CVE-2026-109619是一个陈旧状态问题：致命错误可能使内部状态指向前一个请求的内存，从而引发释放后使用漏洞，并已在一个真实应用中得到演示。
这两个问题都位于PHP几乎每个请求都会涉及的核心区域：内存管理和错误处理。正因为其核心地位，这些漏洞既十分严重，又难以修复，因为修复可能破坏兼容性、影响性能，或迫使庞大的第三方扩展生态系统做出改动。
OOM问题最初于2024年由PHP基金会资助、Quarkslab实施的一次外部安全审计中被发现。由于安全团队在权衡各有取舍的不同方案，修复工作拖延了数月。团队承认，这一延误是结构性失误，并正在改进其决策流程，包括引入多数表决机制。2026年5月，PHP基金会还成立了生态系统安全团队，以支持漏洞分级、协调和加固工作。
来源: Hacker News · 由HeadlinesBriefing整理摘要