PHP Foundation披露深刻脆弱性修复难题

PHP Foundation披露了两项深刻脆弱性的问题，称在发现到修复的过程中遭遇了困难。一些问题在2024年被识别，但由于资源不足，修复工作进展缓慢。原计划在相关人员之间协调后进行信息公开，但在公开前发生了信息泄露等混乱情况。

在2026年10月21日，发布了针对可以在没有认证的情况下远程执行代码的更新，修复了「CVE-2026-109618」和「CVE-2026-109619」。PHP Foundation呼吁使用PHP的用户立即进行更新。

此次发现的问题与几乎所有请求中使用的内存管理和错误处理相关，属于影响范围广泛的深刻脆弱性。此外，参与者之间的协调和对性能的影响等问题叠加，使得修复工作面临挑战。

关于「CVE-2026-109618」的迹象，PHP Foundation表示在2024年进行的一次外部审计中发现了其他问题并在修复过程中识别了该脆弱性。虽然当时就已预见到可能被利用的风险，但攻击路径尚不明确，因此优先处理了更具体的问题。