по умолчанию ffi включён в режиме прелоада, что означает, что при работе 1) из веба нужно использовать load в файле прелоада и scope в приложеньке 2) из консоли через load или cdef
Могу херню сморозить, но разве ты тут не вызываешь инструкции из области, не предназначенной для исполнения? Оно будет работать при DEP? Ранее всякие HIPS'ы за подобные финты сильно ругались.
Но может я не так понял или пхп под капотом что-то делает не так, как мне кажется.