PHP2Shell (CVE-2026-109618 и CVE-2026-109619): где взять исправление для каждой ветки и какие смягчения вредят

Две RCE в PHP с CVSS 9.2 закрыты релизами 8.2.35, 8.3.36, 8.4.27 и 8.5.12, а для EOL-ветвей 8.1, 8.0 и 7.4 выпущены только минимальные бэкпорты — ветки в php-src без релизов и образов. Таблица «ветка → источник исправления» для восьми ветвей от 5.6 до 8.4, разбор смягчений из advisory и предупреждение: RLIMIT_AS и ulimit -v сами вызывают уязвимый сбой.