2026 年 10 月 21 日，PHP 官方发布紧急安全更新。
PHP 8.5.12、8.4.27、8.3.36、8.2.35 修复两个可导致未授权远程代码执行的漏洞，CVSS v4.0 均为 9.2：
CVE-2026-109618：内存耗尽（OOM）时请求内部数据只初始化一半，清理逻辑把非法数据当合法数据处理。
CVE-2026-109619：请求内部状态在内存释放后仍存活，同一 worker 的后续请求会复用它（use-after-free）。
问题在 PHP 解释器本身，与 Z-BlogPHP、主题、插件无关。影响所有对外提供 Web 服务的 PHP 环境（PHP-FPM、mod_php、php-cgi、FrankenPHP、LiteSpeed），其中 mod_php 风险最高——攻击在应用代码执行前就能触发，且不需要登录。已在野利用，Cloudflare 已观测到早期攻击。
官方明确：没有完整缓解方案，升级是唯一安全选择。
PHP 8.1 及更早已停止维护，请升级或联系发行版厂商确认回移补丁。
升级后务必重启所有 PHP worker（php-fpm / Apache），只替换文件不重启无效。
