2026 年 10 月 21 日，PHP 官方发布紧急安全更新。

CVE-2026-109618：内存耗尽（OOM）时请求内部数据只初始化一半，清理逻辑把非法数据当合法数据处理。

CVE-2026-109619：请求内部状态在内存释放后仍存活，同一 worker 的后续请求会复用它（use-after-free）。

问题在 PHP 解释器本身，与程序本身无关。影响所有对外提供 Web 服务的 PHP 环境（PHP-FPM、mod_php、php-cgi、FrankenPHP、LiteSpeed），其中 mod_php 风险最高——攻击在应用代码执行前就能触发，且不需要登录。已在野利用，Cloudflare 已观测到早期攻击。

官方明确：没有完整缓解方案，升级是唯一安全选择。

我司有少部分开发的项目（如建站系统、商城系统等）使用PHP语言开发，我司已第一时间对我司维护的服务器PHP版本进行升级，请用户放心使用。

我司大部分项目（如课后服务系统、智慧用电平台、标后管理系统、高球计分系统、智慧灯控系统等）均使用java语言开发，不涉及上述漏洞，请用户放心使用。