关于PHP CVE-2026-109618、CVE-2026-109619高危安全漏洞的相关处理
PHP 官方公布了几项临时缓解措施：
针对 CVE-2026-109619，可以关闭 Session 上传进度功能：
session.upload_progress.enabled = 0 session.use_strict_mode = 1 session.use_only_cookies = 1
针对 CVE-2026-109618，官方提出可以考虑设置：
memory_limit = -1
更新后的安全分支：
PHP 8.2.35+
PHP 8.3.36+
PHP 8.4.27+
PHP 8.5.12+
另外Webman框架不受该漏洞影响
不用 php-fpm：Webman 是 Workerman 常驻 CLI
进程（config/server.php 直接 listen http://0.0.0.0:2），PHP 以 CLI SAPI 运行。CLI 下 PHP 根本不做 multipart
解析，$_POST/$_FILES 是空的。
multipart 是 Workerman 自己解析的：vendor/workerman/workerman/Protocols/Http/Request.php:484 的 parseUploadFiles()，手工切分边界、tempnam() 落临时文件。PHP_SESSION_UPLOAD_PROGRESS在这里只是一个普通表单字段，不会触发 ext/session 的任何逻辑。
session 完全不走 PHP 原生扩展：support/bootstrap/Session.php
用的是 Workerman\Protocols\Http\Session（纯 PHP 实现，存Redis，config/session.php），全项目没有任何session_start()，也没有 $_SESSION。所以连"上传进度写 session文件 + 应用 include 落地"那条链的落点都没有。
