刚刚PHP发布了8.5.12以修复两个严重漏洞，我看了一下官方的说明，和对PHP内存耗尽的处理方式有关。攻击者可以精心设置请求，触发内存耗尽，并使服务器在内存耗尽时读取未构成完成的内容。由于需要精心设计，个人感觉实现攻击的门槛比较高，但完全有可能用来执行任意的未经授权的代码。
相比之下，曾经的log4j漏洞的攻击门槛可低多了，你甚至只要进了一个MC服务器，在聊天栏里面发一行带有jndi格式化代码的文字，就有可能执行恶意程序。