一名安全研究人员在 PHP 中发现了一个堆内存释放后使用 (UAF) 漏洞，具体涉及 `session.upload_progress` 机制。该漏洞被标识为 CVE-2026-109618 和 CVE-2026-109619，发生在处理 multipart 表单数据期间。在释放后使用场景中，系统在内存已释放后继续引用该内存地址；在这种特定情况下，对该内存的“使用”可能导致攻击者执行任意代码。

围绕该漏洞的技术讨论强调，该问题深植于 PHP 在文件上传过程中如何管理内存。Hacker News 上的一位评论者指出，该漏洞非常严重，因为它直接允许任意代码执行。此外，讨论还澄清了一个关于缓解措施的关键区别：虽然许多用户可能认为禁用特定的 PHP 配置选项（如 `session.upload_progress.enabled`）就能提供保护，但一些分析表明，无论这些特定设置如何，底层的 multipart UAF 漏洞可能仍然可被利用。

由于该漏洞与 multipart/form-data 的核心处理相关，管理员正寻求更广泛的系统级保护。评论者建议，像 SELinux 或 AppArmor 这样的安全模块可能比仅更改 PHP 特定配置更有效的临时措施。此外，关于 Debian 等主要发行版仓库中补丁发布的具体时间表仍存在不确定性，这影响了生产环境能够多快防御此类漏洞。该报告的复杂性以及底层的内存管理问题，凸显了保护长期存在的编程语言免受复杂的内存损坏漏洞攻击所面临的持续挑战。