PHP 漏洞：aaPanel / BT 的 PHP 升级指南PHP vulnerability · PHP2Shell · CVE-2026-109618 / CVE-2026-109619 · PHP RCE · PHP security update

PHP 漏洞：厂商软件包状态

“已确认”表示厂商已发布修复，不代表你的服务器已经更新。“未确认”表示尚无适用于该组合的已核实包版本。

PHP 漏洞：其他软件包系列

这些软件包有独立的发布计划。请确认使用的是哪个软件源，不能把一个系列的修复状态套用于另一个。

宝塔确认 Linux 和 Windows 面板的 PHP 8.2–8.5 已获得 PHP 漏洞修复。刷新软件列表后，分别更新各网站的运行环境。本站未实测面板安装和重启。

宝塔确认 PHP 7.4、8.0、8.1 的 PHP 漏洞回补仅适用于 Linux。7.4.34、8.0.27、8.1.35 是宝塔 Linux 包的标签，并非上游发布；不能据此判断宝塔 Windows 或其他厂商的软件包已修复。请在面板核对更新后的构建，本站未实测安装。

宝塔尚未公布 Windows 面板 PHP 8.1 及更早分支的 PHP 漏洞修复包。厂商提供关闭 session 上传进度的缓解说明，仅针对 CVE-2026-109619，不能修复 CVE-2026-109618。请规划迁移至受支持且已修复的分支。Linux 回补包标签不能作为 Windows 已修复的证据。

确认 PHP 漏洞 修复来自哪个软件源

发行版软件包、第三方仓库、容器镜像和面板管理的 PHP 可能是不同安装。核对操作系统、架构、软件源和网站分配的运行时；同一个短版本号可能对应不同补丁状态。

源码上传、计划发布日期或 RC 标签都不能证明 PHP 漏洞 修复包已经发布。

PHP 8.5：更新、重启和验证

PHP 8.4：更新、重启和验证

PHP 8.3：更新、重启和验证

PHP 8.2：更新、重启和验证

PHP 8.1：更新、重启和验证

PHP 8.0：更新、重启和验证

PHP 7.4：更新、重启和验证

PHP 漏洞：暂时无法升级时

临时缓解不能完整修复 PHP 漏洞。关闭 session 上传进度只能缓解 CVE-2026-109619 已确认的部分路径，不能修复 CVE-2026-109618，也不能排除其他残留状态路径。

session.upload_progress.enabled = Off

在网站运行时使用的配置中、请求解析前生效，并重启全部 PHP worker。不要依赖应用中的 ini_set() 或 FPM 的 .user.ini。修改会停用 PHP 内置的 session 上传进度功能。

cleanup、strict_mode、only_cookies 和 HttpOnly 属于 session 清理或一般加固，不能作为这两个漏洞已修复的证据。官方还讨论请求大小、内存限制与错误回溯设置；取消内存限制有耗尽主机资源的风险。应用其他设置前请阅读公告中的限制并评估可用性影响。

核对时间: 2026-10-21 23:25:00 UTC

厂商来源 ↗

厂商来源 ↗

PHP 漏洞 更新后的检查

测试关键请求、登录、上传、日志、定时任务和后台 worker。重启所有处理网站请求的 PHP 进程，并核对每个站点的运行版本。保存软件源和完整修订号记录；EOL 分支还需安排迁移。

常见问题