致命错误发生在错误时点会让内部状态指向上一请求的内存，同一 worker 后续请求复用已释放内存。已确认 uaf 与 worker 崩溃，并针对 apache mod_php 真实应用演示 rce。（本次核验：nvd rest api 显示该条目状态 analyzed、lastmodified 2026-11-05，cvss v4.0 9.2 critical、cvss v3.1 8.1 high，cwe-416 / 755 / 824 / 1325。）
关键信息一览
- 情报类目：安全漏洞（重要级别：紧急）
- 发布日期：2026-10-21 核验状态：已官方确认
- 关联编号：CVE-2026-109619 / GHSA-6wmf-4rv5-p3rp
- 影响范围：8.2 / 8.3 / 8.4 / 8.5 全部分支
- 来源机构：php/php-src Security Advisories（官方一手）
建议动作
与 109618 同批修复，立即升级；两项均评级 CVSS v4.0 9.2
来源
本文依据官方及权威渠道信息整理，原始出处：https://www.php.cn/link/7f74350fdf72467eab97e3fbf19d849c
