PHP Vulnerability Guide
简体中文

最后更新: 2026-10-22 (UTC)

PHP 漏洞：Debian 的 PHP 8.4 升级指南PHP vulnerability · PHP2Shell · CVE-2026-109618 / CVE-2026-109619 · PHP RCE · PHP security update

PHP 漏洞 PHP2Shell（CVE-2026-109618 / CVE-2026-109619）需要更新网站使用的 PHP。核对软件源、完整包版本和服务进程，再应用 PHP security update，处理 PHP RCE 风险（php vulnerability）。

PHP2Shell · CVE-2026-109618 / CVE-2026-109619

先备份应用、配置与数据，并在测试环境验证。处理 PHP 漏洞 时，只使用当前安装的软件源和分支。

PHP 漏洞：厂商软件包状态

分支 / 厂商已修复软件包PHP2Shell · 状态
PHP 8.4
debian-security · 13		8.4.27-1~deb13u1
厂商来源 ↗		修复已确认
核对时间: 2026-10-22 03:28:59 UTC

“已确认”表示厂商已发布修复，不代表你的服务器已经更新。“未确认”表示尚无适用于该组合的已核实包版本。

确认 PHP 漏洞 修复来自哪个软件源

发行版软件包、第三方仓库、容器镜像和面板管理的 PHP 可能是不同安装。核对操作系统、架构、软件源和网站分配的运行时；同一个短版本号可能对应不同补丁状态。

源码上传、计划发布日期或 RC 标签都不能证明 PHP 漏洞 修复包已经发布。

PHP 8.4：更新、重启和验证

debian-security · 13

Debian 安全跟踪器确认该安全仓库包包含修复。

核对时间: 2026-10-22 03:28:59 UTC · 厂商来源 ↗

更新

sudo apt-get update
apt-cache policy php8.4-fpm
sudo apt-get install -y --only-upgrade 'php8.4*' libapache2-mod-php8.4

重启

service php8.4-fpm restart
service apache2 restart

验证

dpkg-query -W -f='${Package} ${Version}\n' 'php*'
php -v

实测环境: debian:13 容器（ARM64）, 2026-10-21 UTC. 仅用于所列软件源和已安装分支，需要管理员权限。先确认扩展与服务名称，再操作生产环境。

PHP 漏洞：各架构的软件包发布记录

下表是实际软件包索引，不是安装测试。EOL 软件包的构建日期变新不能单独证明补丁已回补。匹配发行版和 CPU 架构，不要仅因另一架构有新版本就切换软件源。

sury · bookworm · amd64

核对时间: 2026-10-21T23:22:25.550779+00:00 · 软件包索引 ↗

软件包已发布修订号
php7.4-cli1:7.4.33-31+0~20261021.121+debian12~1.gbpe9c428
php8.0-cli1:8.0.30-25+0~20261021.88+debian12~1.gbpabebea
php8.1-cli8.1.34-9+0~20261021.82+debian12~1.gbp4e430a
php8.2-cli8.2.35-1+0~20261021.94+debian12~1.gbp8bff78
php8.3-cli8.3.36-1+0~20261021.88+debian12~1.gbp250f7c
php8.4-cli8.4.27-1+0~20261021.57+debian12~1.gbp7636b9
php8.5-cli8.5.12-1+0~20261021.27+debian12~1.gbp1a3e8a
sury · bookworm · arm64

核对时间: 2026-10-22T03:23:57.653599+00:00 · 软件包索引 ↗

软件包已发布修订号
php7.4-cli1:7.4.33-30+0~20260703.120+debian12~1.gbp1cce3b
php8.0-cli1:8.0.30-24+0~20260706.87+debian12~1.gbpf2cc5a
php8.1-cli8.1.34-8+0~20260703.81+debian12~1.gbp86d822
php8.2-cli8.2.34-1+0~20260924.93+debian12~1.gbpa3951d
php8.3-cli8.3.35-1+0~20260925.87+debian12~1.gbp19383d
php8.4-cli8.4.26-1+0~20260925.56+debian12~1.gbp80d95d
php8.5-cli8.5.11-1+0~20260924.26+debian12~1.gbpbcb504
sury · trixie · amd64

核对时间: 2026-10-21T23:22:25.551187+00:00 · 软件包索引 ↗

软件包已发布修订号
php7.4-cli1:7.4.33-31+0~20261021.121+debian13~1.gbpe9c428
php8.0-cli1:8.0.30-25+0~20261021.88+debian13~1.gbpabebea
php8.1-cli8.1.34-9+0~20261021.82+debian13~1.gbp4e430a
php8.2-cli8.2.35-1+0~20261021.94+debian13~1.gbp8bff78
php8.3-cli8.3.36-1+0~20261021.88+debian13~1.gbp250f7c
php8.4-cli8.4.27-1+0~20261021.57+debian13~1.gbp7636b9
php8.5-cli8.5.12-1+0~20261021.27+debian13~1.gbp1a3e8a
sury · trixie · arm64

核对时间: 2026-10-22T03:23:57.653963+00:00 · 软件包索引 ↗

软件包已发布修订号
php7.4-cli1:7.4.33-30+0~20260703.120+debian13~1.gbp1cce3b
php8.0-cli1:8.0.30-24+0~20260706.87+debian13~1.gbpf2cc5a
php8.1-cli8.1.34-8+0~20260703.81+debian13~1.gbp86d822
php8.2-cli8.2.34-1+0~20260924.93+debian13~1.gbpa3951d
php8.3-cli8.3.35-1+0~20260925.87+debian13~1.gbp19383d
php8.4-cli8.4.26-1+0~20260925.56+debian13~1.gbp80d95d
php8.5-cli8.5.11-1+0~20260924.26+debian13~1.gbpbcb504

PHP 漏洞：暂时无法升级时

临时缓解不能完整修复 PHP 漏洞。关闭 session 上传进度只能缓解 CVE-2026-109619 已确认的部分路径，不能修复 CVE-2026-109618，也不能排除其他残留状态路径。

session.upload_progress.enabled = Off

在网站运行时使用的配置中、请求解析前生效，并重启全部 PHP worker。不要依赖应用中的 ini_set() 或 FPM 的 .user.ini。修改会停用 PHP 内置的 session 上传进度功能。

cleanup、strict_mode、only_cookies 和 HttpOnly 属于 session 清理或一般加固，不能作为这两个漏洞已修复的证据。官方还讨论请求大小、内存限制与错误回溯设置；取消内存限制有耗尽主机资源的风险。应用其他设置前请阅读公告中的限制并评估可用性影响。

核对时间: 2026-10-21 23:25:00 UTC

厂商来源 ↗

厂商来源 ↗

PHP 漏洞 更新后的检查

测试关键请求、登录、上传、日志、定时任务和后台 worker。重启所有处理网站请求的 PHP 进程，并核对每个站点的运行版本。保存软件源和完整修订号记录；EOL 分支还需安排迁移。

版本检查器 →

查看跨版本迁移指南 →

常见问题

为什么 PHP 漏洞更新后版本号仍旧？

发行版常把安全补丁回补到原分支，短版本号可以不变。核对完整包修订号、软件源和厂商公告，再检查网站实际运行的 PHP。

更新命令行 PHP 会同时更新网站吗？

不一定。命令行、PHP-FPM 和面板可能使用不同程序。完成 PHP 漏洞更新后，逐个核对网站分配的运行时。

需要重启 PHP worker 吗？

需要。按厂商流程重启 FPM、Apache 和长期运行的应用 worker。只安装软件包，不能证明所有进程已经加载新版本。

来源与核对记录

核对时间: 2026-10-22 03:29:51 UTC