先备份应用、配置与数据，并在测试环境验证。处理 PHP 漏洞 时，只使用当前安装的软件源和分支。
PHP 漏洞：厂商软件包状态
| 分支 / 厂商 | 已修复软件包 | PHP2Shell · 状态 |
|---|---|---|
| PHP 8.5 easyapache4 | 已修复软件包 — 厂商来源 ↗ | 修复已确认 核对时间: 2026-10-22 03:28:58 UTC |
| PHP 8.4 easyapache4 | 已修复软件包 — 厂商来源 ↗ | 修复已确认 核对时间: 2026-10-22 03:28:58 UTC |
| PHP 8.3 easyapache4 | 已修复软件包 — 厂商来源 ↗ | 修复已确认 核对时间: 2026-10-22 03:28:58 UTC |
| PHP 8.2 easyapache4 | 已修复软件包 — 厂商来源 ↗ | 修复已确认 核对时间: 2026-10-22 03:28:58 UTC |
| PHP 8.1 easyapache4 | 已修复软件包 — 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 03:28:58 UTC |
| PHP 8.0 easyapache4 | 已修复软件包 — 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 03:28:58 UTC |
| PHP 7.4 easyapache4 | 已修复软件包 — 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 03:28:58 UTC |
“已确认”表示厂商已发布修复，不代表你的服务器已经更新。“未确认”表示尚无适用于该组合的已核实包版本。
PHP 漏洞：其他软件包系列
这些软件包有独立的发布计划。请确认使用的是哪个软件源，不能把一个系列的修复状态套用于另一个。
| 分支 / 厂商 | 已修复软件包 | PHP2Shell · 状态 |
|---|---|---|
| PHP 8.5 cloudlinux-alt-php | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.4 cloudlinux-alt-php | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.3 cloudlinux-alt-php | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.2 cloudlinux-alt-php | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.1 cloudlinux-alt-php | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.0 cloudlinux-alt-php | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 7.4 cloudlinux-alt-php | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.5 cloudlinux-ea-php85 | 按系统查看完整修订号CloudLinux 7 · ea-php85 CloudLinux 8 · ea-php85 CloudLinux 9 · ea-php85 CloudLinux 10 · ea-php85 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.4 cloudlinux-ea-php84 | 按系统查看完整修订号CloudLinux 7 · ea-php84 CloudLinux 8 · ea-php84 CloudLinux 9 · ea-php84 CloudLinux 10 · ea-php84 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.3 cloudlinux-ea-php83 | 按系统查看完整修订号CloudLinux 7 · ea-php83 CloudLinux 8 · ea-php83 CloudLinux 9 · ea-php83 CloudLinux 10 · ea-php83 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.2 cloudlinux-ea-php82 | 按系统查看完整修订号CloudLinux 7 · ea-php82 CloudLinux 8 · ea-php82 CloudLinux 9 · ea-php82 CloudLinux 10 · ea-php82 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.1 cloudlinux-ea-php81 | 按系统查看完整修订号CloudLinux 7 · ea-php81 CloudLinux 8 · ea-php81 CloudLinux 9 · ea-php81 CloudLinux 10 · ea-php81 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.0 cloudlinux-ea-php80 | 按系统查看完整修订号CloudLinux 7 · ea-php80 CloudLinux 8 · ea-php80 CloudLinux 9 · ea-php80 CloudLinux 10 · ea-php80 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 7.4 cloudlinux-ea-php74 | 按系统查看完整修订号CloudLinux 7 · ea-php74 CloudLinux 8 · ea-php74 CloudLinux 9 · ea-php74 CloudLinux 10 · ea-php74 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 03:29:00 UTC |
CloudLinux 确认 OS 7/8/9 和 Ubuntu 22.04 的 alt-php 修复已进入稳定仓库。OS 10 的这些分支由 ELS 提供，alt-php 5.2 也已进入稳定仓库。OS 7/8/9 不再需要临时切换 ELS。完整 alt-php 修订号和 CloudLinux 6 仍未确认；需在已安装包的变更日志中核对两个 CVE。安装未经实测。
CloudLinux 确认这些 ea-php 回补已进入 OS 7/8/9/10 稳定仓库。展开修订号，匹配操作系统和包系列；不能用于 alt-php 或系统原生 PHP。具体架构的安装未实测，请在已安装包的厂商变更日志中核对两个 CVE。
确认 PHP 漏洞 修复来自哪个软件源
发行版软件包、第三方仓库、容器镜像和面板管理的 PHP 可能是不同安装。核对操作系统、架构、软件源和网站分配的运行时；同一个短版本号可能对应不同补丁状态。
源码上传、计划发布日期或 RC 标签都不能证明 PHP 漏洞 修复包已经发布。
PHP 8.5：更新、重启和验证
easyapache4
EasyApache 4 变更日志确认了该分支更新。核对已安装的完整 EA4 包，并重启网站实际使用的运行时。
核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗
PHP 8.4：更新、重启和验证
easyapache4
EasyApache 4 变更日志确认了该分支更新。核对已安装的完整 EA4 包，并重启网站实际使用的运行时。
核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗
PHP 8.3：更新、重启和验证
easyapache4
EasyApache 4 变更日志确认了该分支更新。核对已安装的完整 EA4 包，并重启网站实际使用的运行时。
核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗
PHP 8.2：更新、重启和验证
easyapache4
EasyApache 4 变更日志确认了该分支更新。核对已安装的完整 EA4 包，并重启网站实际使用的运行时。
核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗
PHP 8.1：更新、重启和验证
easyapache4
EasyApache 4 变更日志确认了该分支更新。核对已安装的完整 EA4 包，并重启网站实际使用的运行时。
核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗
PHP 8.0：更新、重启和验证
easyapache4
EasyApache 4 变更日志确认了该分支更新。核对已安装的完整 EA4 包，并重启网站实际使用的运行时。
核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗
PHP 7.4：更新、重启和验证
easyapache4
EasyApache 4 变更日志确认了该分支更新。核对已安装的完整 EA4 包，并重启网站实际使用的运行时。
核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗
cPanel · EasyApache 4
请管理员通过 EasyApache 4 更新，然后在 MultiPHP Manager 核对每个站点的 PHP。本站未实测持有许可证的 cPanel 环境，因此不提供 shell 升级命令。CloudLinux alt-php 是独立包系列，请主机商分别确认。
查看厂商操作文档 ↗PHP 漏洞：暂时无法升级时
临时缓解不能完整修复 PHP 漏洞。关闭 session 上传进度只能缓解 CVE-2026-109619 已确认的部分路径，不能修复 CVE-2026-109618，也不能排除其他残留状态路径。
session.upload_progress.enabled = Off在网站运行时使用的配置中、请求解析前生效，并重启全部 PHP worker。不要依赖应用中的 ini_set() 或 FPM 的 .user.ini。修改会停用 PHP 内置的 session 上传进度功能。
cleanup、strict_mode、only_cookies 和 HttpOnly 属于 session 清理或一般加固，不能作为这两个漏洞已修复的证据。官方还讨论请求大小、内存限制与错误回溯设置；取消内存限制有耗尽主机资源的风险。应用其他设置前请阅读公告中的限制并评估可用性影响。
核对时间: 2026-10-21 23:25:00 UTC
PHP 漏洞 更新后的检查
测试关键请求、登录、上传、日志、定时任务和后台 worker。重启所有处理网站请求的 PHP 进程，并核对每个站点的运行版本。保存软件源和完整修订号记录；EOL 分支还需安排迁移。
版本检查器 →常见问题
为什么 PHP 漏洞更新后版本号仍旧？
发行版常把安全补丁回补到原分支，短版本号可以不变。核对完整包修订号、软件源和厂商公告，再检查网站实际运行的 PHP。
更新命令行 PHP 会同时更新网站吗？
不一定。命令行、PHP-FPM 和面板可能使用不同程序。完成 PHP 漏洞更新后，逐个核对网站分配的运行时。
需要重启 PHP worker 吗？
需要。按厂商流程重启 FPM、Apache 和长期运行的应用 worker。只安装软件包，不能证明所有进程已经加载新版本。