GC Reference Counting Assertion Failure via Object Destruction and Invalid Assignment

Description

The following php input triggers a reference counting bug in PHP's Zend garbage collector:

<?php
for ($i = 0; $a== 0; $h++) { 
    $a +=  $i<6;
    
    class Test {
        static ?Test $test;

        function __destruct() {
            $GLOBALS['a'] = null;
        }
    }

    $a = [new Test];
    
    Test::$test = $a<> 123^0-#x
    
    $a .= $a;
}
?>

Resulted in this output:

Warning: Undefined variable $a in  poc.php on line 2

Warning: Undefined variable $a in  poc.php on line 3

Warning: Array to string conversion in poc.php on line 17
php: Zend/zend_types.h:1383: uint32_t zend_gc_delref(zend_refcounted_h *): Assertion `p->refcount > 0' failed.
Aborted

To reproduce:

./php-src/sapi/cli/php poc.php

PHP Version

PHP 8.5.0-dev (cli) (built: Sep 30 2025 15:04:00) (NTS DEBUG)
Copyright (c) The PHP Group
Zend Engine v4.6.0-dev, Copyright (c) Zend Technologies
    with Zend OPcache v8.5.0-dev, Copyright (c), by Zend Technologies

Operating System

Ubuntu 22.04

このレポートには poc.php の入力が記載されており、PHP 8.5.0-dev の DEBUG ビルドで ./php-src/sapi/cli/php poc.php を実行すると再現します。Zend/zend_types.h:1383 から始めて、オブジェクトの破棄、無効な代入、失敗した zend_gc_delref アサーションを追跡してください。参照カウントの失敗を特定して修正し、再現コード用の回帰テストを追加できれば完了です。