事件经过
2026-10-21，PHP 项目披露了两个严重的未经认证 RCE 漏洞（CVE-2026-109618 OOM 时提前退出内存损坏；CVE-2026-109619 跨请求过期全局状态导致释放后使用）。CISA 于 2026-10-26 将两者添加到 KEV 目录，确认存在利用；Cloudflare 报告数百万次利用尝试，AWS 表示在补丁发布前几天就开始探测。到 2026-10-22，Mirai 僵尸网络操作者加入了攻击，同时出现了 ASLR 绕过利用。
影响分析
PHP 承载着大量包装 AI/ML 服务的 Web 前端和管理表面——模型市场 UI、MLflow/向量数据库仪表板以及 AI 插件生态系统。由于损坏在请求关闭期间、应用身份认证之前触发，没有应用级控制可以阻止它；Web 层上的 RCE 可横向移动到为 AI 工作负载提供数据的数据平面。
攻击途径
未经认证的精心构造 HTTP 请求（缺少有效 Content-Length 的 multipart、无限制的每部分头部）在应用代码运行前触发请求关闭内存损坏/跨请求释放后使用；导致拒绝服务、内存泄露或远程代码执行。已在野外确认并于 2026-10-26 添加到 CISA KEV。
受影响系统
PHP 8.2 <8.2.35、8.3 <8.3.36、8.4 <8.4.27、8.5 <8.5.12（CVE-2026-109618 内存损坏 RCE 和 CVE-2026-109619 过期请求状态 UAF RCE）；EOL 分支无修复
缓解措施
修补到 PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12。如果无法立即升级：设置 memory_limit=-1，限制请求体大小/multipart 部分/头部，并在 PHP 8.5 上禁用 session.upload_progress。重建/滚动容器镜像到已修补的 PHP-FPM。