【漏洞预警】PHP 爆严重漏洞，外部请求就能在服务器上执行命令（CVE-2026-109618 / 109619）

PHP 于 2026 年 10 月 21 日发布两枚严重未认证远程代码执行。CVE-2026-109618 出在内存耗尽后的错误清理，CVE-2026-109619 出在请求结束后残留的全局状态。官方 CVSS 4.0 为 9.2，NVD CVSS 3.1 为 9.8。请把 8.5 / 8.4 / 8.3 / 8.2 升到 8.5.12、8.4.27、8.3.36、8.2.35，重启全部 PHP worker（只 reload 不够），容器改用已打补丁的镜像后再用 php -v 核对。不要用 WAF 代替升级。