PHP Vulnerability Guide
简体中文

最后更新: 2026-10-22 (UTC)

PHP 漏洞PHP vulnerability · PHP2Shell · CVE-2026-109618 / CVE-2026-109619 · PHP RCE · PHP security update

核对 PHP 漏洞 PHP2Shell（CVE-2026-109618 / CVE-2026-109619），查找 PHP security update，处理 PHP RCE 风险（php vulnerability）。

选择检查方式

版本检查器

● 本地检查

粘贴内容只在当前浏览器中处理，不上传、不保存。

在线版本检测

可粘贴域名或网址。验证 DNS 管理权后，只读取 HTTPS 首页。

在线版本检测: 状态

工具只向 HTTPS 首页发送一次 HEAD 请求，不跟随跳转、不读取网页正文，支持 Cloudflare 代理的网站；WAF 验证、HEAD 请求被拒绝或版本响应头被隐藏时，仍可能无法获取版本；仅提供 HTTP 的网站不支持检测，此时请在主机面板查询完整版本。仅识别 X-Powered-By 中明确的 PHP 版本。CDN、关闭响应头或主机配置都可能导致无法识别。响应头可以被修改或缓存，因此不能证明软件包版本或修复状态。

这只是响应头提示，请继续核对安装的软件包和实际运行的 PHP。

Cloudflare: HTTP requests ↗

域名会发送到本站接口和 Cloudflare DNS。域名验证通过后，目标网站会收到 HEAD 请求。本站不把提交的域名和结果保存到应用数据库或统计中；基础设施服务商可能处理请求元数据。

按平台查找修复方案

宝塔 / aaPanelUbuntuDebianDockercPanelPleskRHEL / Alma / RockyWindowsHomebrewWordPress
全部分支与厂商修复状态 →

暂时无法升级？

准备更新期间，可查看临时缓解措施及其限制；这些措施不能修复两个 CVE。

查看临时措施 →

上游修复版本

上游修复版本和厂商回补包可能使用不同版本号，请核对完整软件包修订。

PHP 8.58.5.12 →PHP 8.48.4.27 →PHP 8.38.3.36 →PHP 8.28.2.35 →

核对时间: 2026-10-21 15:26:08 UTC

全部分支与厂商修复状态 →

更新后，确认网站实际生效

  1. 厂商已提供当前分支修复包时，优先更新所安装的分支。
  2. 迁移 PHP 分支前，在测试环境核对应用和扩展兼容性。
  3. 重启处理网站请求的 PHP worker，并检查网站运行环境；终端可能使用另一套 PHP。

为什么修复后的版本号看起来仍然很旧？

Ubuntu、Debian 等厂商可能将安全补丁加入旧分支。先核对完整软件包版本及厂商公告，再决定是否需要迁移。

检查器能确认什么？

本地检查器只将你提供的版本文本与已核实的版本及软件包记录比较，无法确认其他节点、自定义构建或未重启的旧进程。

了解这次 PHP 漏洞

PHP2Shell 包含两项影响网站请求的 PHP RCE 问题。需要确认 PHP-FPM 或 Apache 实际使用的 PHP security update，并检查所有处理请求的运行环境。

查看 PHP2Shell 说明 →

来源与核对记录

核对时间: 2026-10-22 04:46:46 UTC