mod_php模式最危险，因其将PHP解释器嵌入Apache进程，漏洞可在请求解析前触发，利用全局状态残留和OOM内存破坏直接获取shell权限，且升级易被误判。
mod_php 模式下最危险，核心在于它把 PHP 解释器直接嵌进 Apache 进程里，请求生命周期和服务器进程深度绑定，漏洞利用路径更短、更早、更难防御。
请求还没到你的代码，攻击就已经完成了
在 mod_php 中，PHP 的初始化和清理逻辑由 Apache 在每次请求开始/结束时自动触发。而 CVE-2026-109619（全局状态残留）和 CVE-2026-109618（OOM 内存破坏）都发生在 Zend 引擎内部的请求启动或关闭阶段——这个阶段远早于 任何 PHP 脚本执行，包括 index.php、路由分发、中间件、甚至 .htaccess 规则解析之前。攻击者发一个特制请求，就能在业务逻辑加载前，直接劫持 PHP 进程的内存上下文，拿到 shell 权限。
错误处理机制反而成了攻击跳板
mod_php 在请求启动失败时，仍会无条件执行完整的请求关闭流程。但此时很多内部结构体尚未正确初始化，清理逻辑却照常运行，把残留的野指针或半初始化数据当有效对象处理——这正是 CVE-2026-109618 的利用基础。其他 SAPI（如 PHP-FPM）有独立进程隔离和更严格的错误熔断，而 mod_php 没有这层缓冲。
共享内存 + 长连接 = 状态污染放大器
Apache 的 prefork 或 worker MPM 模式下，一个子进程长期复用，处理多个请求。CVE-2026-109619 利用的就是这种“状态残留”：上一个请求释放的内存块没被清零，下一个请求在初始化前就误读了这些过期数据。mod_php 下这种跨请求的状态污染概率更高、持续时间更长，比 PHP-FPM 的单次请求隔离模型更容易被链式利用。
立即学习“PHP免费学习笔记（深入）”；
升级后极易误判为已修复
很多运维人员只检查 php -v 或 CLI 版本，却忽略 mod_php 使用的是 Apache 加载的 libphp.so 模块。即使系统 PHP 二进制已升级，Apache 若未重启、或模块未重新编译加载，实际运行的仍是旧版内核。这种“看似升级、实则裸奔”的情况，在 mod_php 环境中发生率极高。
