标签：PHP-FPM

PHP 2026-10-21 第二枚严重漏洞 CVE-2026-109619（CVSS 4.0 9.2）：请求堆释放后，worker 仍握着过期全局状态。会话上传进度路径已在 mod_php 与 FPM 上验证 RCE。

PHP 官方 2026-10-21：CVE-2026-109618（CVSS 4.0 9.2）让 OOM 打断未完成的请求初始化，mod_php 上已演示未授权 RCE。修复版本 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35。

2026-09-24 PHP 安全发行：listen.allowed_clients 对 IPv6 只比较前 12 字节，等于把精确地址放宽成 /96。修复于 8.2.34、8.3.35、8.4.26、8.5.11。Unix 套接字与纯 IPv4 不受影响。