24小时应急响应，PHP 两个严重漏洞全部闭环

近期 PHP 官方发布的 CVE-2026-109618、CVE-2026-109619 均为严重（Critical）漏洞。根据 PHP 官方公告，前者涉及内存不足时的异常退出与请求清理，后者涉及请求结束后残留的全局状态。在受影响的 Web 服务环境中，攻击者可能通过未经认证的请求触发漏洞，以 PHP 工作进程权限执行任意代码。二者均对用户业务安全有着极大的影响。

龙蜥社区在监测到安全风险的变动后，立刻启动应急响应，在 24h 内完成对应修复。龙蜥社区借助 PengLAI 和 MonoRepo的 AI 智能化能力，本次在修复 Anolis OS 8 和 Anolis OS 23 的同时，也投入并完成了 Anolis OS 7 ELS 版本的相关安全漏洞修复。社区针对长期维护版本，坚持社区承诺，持续提供修复。

本次修复使用了由龙蜥社区安全联盟提供的 CVE POC AI 校验能力，通过 CI 中的 check_poc 测试项进行黑盒复测。以漏洞复现样例检查修复后的目标构建，判断测试覆盖的利用路径是否仍能触发，而不是只检查代码合入或编译结果。根据实际测试的展示，x86_64 集成测试结果显示，check_poc 测试项成功通过。

PoC 复测验证已知利用路径是否被阻断，依赖检查验证软件包依赖。将两类检查自动化，可重复执行同一套测试，减少人工漏测，并在后续构建中检查修复是否回退，为补丁有效性和包更新稳定性提供依据。

需要注意的是 PoC 测试项通过仅代表对应安全漏洞已经修补，但不等同于全部业务兼容性测试通过，更新后建议重启全部相关 PHP 工作进程并对实际业务进行验证。

同日拔掉的另一颗雷：HTTPS信任链风险

社区同日完成 ca-certificates 中 eMudhra 相关证书问题的修复，使用该证书的业务因为证书自身的缺陷，容易受到中间人攻击方式的攻击。ca-certificates 管理系统所信任的 CA 证书，为依赖系统信任库的软件提供 HTTPS、TLS 连接的证书链验证依据。证书信任库中的问题可能影响多个应用，不能由单个应用补丁替代。本次社区修复采用针对性禁用相关证书的方式，将证书问题从根源截断，保障使用了默认证书的 os 环境在更新后免于遭到相关攻击。对于使用自带证书的业务来说，操作系统层面的更新无法影响实际的证书验证，建议相关用户自查业务及时更新修复，避免遭受安全漏洞的风险。核对修复是否生效时，应确认业务实际使用的信任库。系统信任库更新不一定覆盖应用自带的 CA 文件、独立信任库或未更新的容器镜像，这些环境需要分别检查。具体发行版、修复包和证书处理信息，以 ANAS 安全公告为准。

更多信息

龙蜥社区最新的安全更新可从 ANAS 中获得，ANAS 链接：https://anas.openanolis.cn/errata

反馈 Bug 链接：https://bugzilla.openanolis.cn/