一万多行代码修两个漏洞，PHP这是认真的？

修一个漏洞要写一万一千多行代码，正常吗？PHP刚提交的CVE-2026-109618和CVE-2026-109619修复补丁，一口气刷进了+11556行。安全补丁本该最小化——定位、修补、回归——但这次的体量已接近一个中型功能模块。我倾向于认为这不是过度工程化：底层C代码的内存管理、类型检查、边界条件一旦涉及安全修复，往往牵一发动全身。但话说回来，一万多行的补丁本身也需要审计，谁来保证补丁不引入新问题？这是PHP维护者绕不开的信任难题。

原文：The PHP fix for CVE-2026-109618 and CVE-2026-109619: +11556 lines of code · 来源：Hacker News