Acontece que era um DoS. Alguns processos de 60 php5-cgi aparecem e morrem dentro de um período de 30 segundos, sugando 1.6GB de RAM e são mortos.
Ele não apareceu nos meus registros porque não era um processo único sugando os 1.6GB, eram 60 processos diferentes. E o assassino não matá-lo, algo no Apache está matando-o.
Eu finalmente encontrei quando ajustei meu log de processo para obter a amplitude de processos e escrevi alguns scripts awk para adicionar memória. Parece óbvio agora.