LSAPI

• PHP-FPM sluit de child af op datzelfde startup-pad ("PHP-FPM exits the child on this startup failure path instead"). Het PHP-advies houdt FPM na de startup nog wel voor vatbaar, maar er is geen volledige FPM-exploit voor CVE-2026-109618. Voor CVE-2026-109619 is wel een gevalideerde FPM-keten: een sessie-operatie in de applicatie die BG(unserialize) publiceert, gevolgd door upload progress op een later request naar dezelfde worker.
• LiteSpeed (LSAPI) behandelt de analyse niet. lsphp draait ook als aparte, langlevende processen die meerdere requests afhandelen, dus de voorwaarde "twee requests op dezelfde worker" kan daar evengoed gelden. Wij hebben LSAPI daarom behandeld als FPM.

Voor beide CVE's geldt dat de staat met de worker sterft: "When a worker dies, the stale state dies with it." Keep-alive helpt een aanvaller alleen als de frontend de verbinding aan dezelfde worker koppelt, en dat is geen garantie.