Fil-PHP 未知のメモリ脆弱性も自動的に防げる（実証済み）。 ドキュメント内で、最新のPHP 8.4.27で修正された2つの重大な脆弱性（CVE-2026-109618 / 109619）を、あえて修正前の古いバージョン（8.4.25）のFil-PHPにぶつけるテストを実行。 結果として、普通のPHPならそのまま攻撃が通ってしまうところを、Fil-PHPは見事に検知し、Fil-C panic（強制終了）を起こして攻撃を水際で完全遮断。つまり、脆弱性を事前に知らなくても、メモリ破壊による乗っ取りは防げることが証明。 そして、2022年に公式サポートが終了し、本来なら危険すぎるPHP 7.4もFil-Cでビルド。過去の有名な未修正バグ（unserialize() のUse-After-Free）を突かれても、Fil-PHPなら即座にパニックを起こしてデータ流出を阻止可能。 一方で、実際のWebサイトで動かそうとすると、以下のような現実のデメリットを受け入れる必要性もある。 速度が1.5倍〜4倍遅くなる。 ドキュメントにPHP runs 1.5 to 4 times slowerと明記。さらに、安全のためにPHP独自の高速メモリ管理（Zendアロケータ）をオフにしてシステムアロケータを使っているため、メモリ割り当てが激しいコードではさらに約2倍遅くなる。 攻撃を仕掛けてきた瞬間、Fil-Cは安全のためにプロセスを即座に落とすという挙動(意図的に落とす)。攻撃は防げるが、何度も攻撃を繰り返すとサイトがずっとサーバーダウン（DoS状態）したままになり、サービスが使い物にならなくなる。 ドキュメントでも強調されているが、Fil-Cが防げるのはあくまでメモリのバグだけ。PHPのコード自体に不備がある SQLインジェクション、認証バイパス、パスワードの漏えいなどの論理的な欠陥は、普通のPHPと全く同じようにそのままハッキングされてしまう。