在特定补丁版本之前的 PHP 版本中发现了两个与内存相关的漏洞。未经身份验证的远程攻击者可以通过发送精心构造的 HTTP 请求来利用这些缺陷。第一个漏洞 CVE-2026-109618 是 PHP 内存不足处理机制中的内存损坏问题。当内存不足条件中断请求处理，且数据处于部分初始化状态时，后续的清理尝试会访问无效内存，从而导致损坏并可能引发代码执行。第二个漏洞 CVE-2026-109619 是全局状态管理中的释放后使用（use-after-free）漏洞。这种情况发生在工作进程保留了对已释放请求内存的引用时，使得后续请求能够访问陈旧状态。这两个漏洞均可能导致任意代码执行，从而危害机密性、完整性和可用性。Apache mod_php 部署尤其面临风险，因为利用可能在应用程序代码执行之前发生。解决方案是立即将 PHP 更新至补丁版本。如果无法打补丁，则存在针对这两个漏洞的临时缓解措施，包括调整内存限制、禁用会话上传进度以及强制服务器级请求限制。网络分段和以最小权限运行 PHP 也可以限制影响范围。