最后更新: 2026-10-22 (UTC)
PHP 漏洞修复状态：分支与平台
上游发布、厂商发布和服务器实际完成更新是三件不同的事。下面的状态来自核对过的官方公告；每行保留来源和 UTC 核对时间。
PHP2Shell · CVE-2026-109618 / CVE-2026-109619
PHP 漏洞: 修复版本
| 分支 | 修复版本 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 漏洞 · 厂商: 状态
| 厂商 | 分支 | 已修复软件包 | 状态 | 核对时间 (UTC) |
|---|---|---|---|---|
| Ubuntu 26.04 ↗ ubuntu-archive | 8.5 | 8.5.4-0ubuntu1.5 | 修复已确认 | 2026-10-22 03:28:58 UTC |
| Ubuntu 26.10 ↗ ubuntu-archive | 8.5 | 8.5.9-0ubuntu2.1 | 修复已确认 | 2026-10-22 03:28:58 UTC |
| Docker ↗ docker-library | 8.5 | 8.5.12 | 修复已确认 | 2026-10-22 03:28:58 UTC |
| cPanel ↗ easyapache4 | 8.5 | — | 修复已确认 | 2026-10-22 03:28:58 UTC |
| Plesk ↗ plesk | 8.5 | 8.5.12 | 修复已确认 | 2026-10-22 03:29:02 UTC |
| aaPanel / BT ↗ aapanel | 8.5 | 8.5.12 | 修复已确认 | 2026-10-22 03:28:58 UTC |
| Homebrew ↗ homebrew | 8.5 | 8.5.12 | 修复已确认 | 2026-10-22 03:28:58 UTC |
| Debian 13 ↗ debian-security | 8.4 | 8.4.27-1~deb13u1 | 修复已确认 | 2026-10-22 03:28:59 UTC |
| Docker ↗ docker-library | 8.4 | 8.4.27 | 修复已确认 | 2026-10-22 03:28:58 UTC |
| cPanel ↗ easyapache4 | 8.4 | — | 修复已确认 | 2026-10-22 03:28:58 UTC |
| Plesk ↗ plesk | 8.4 | 8.4.27 | 修复已确认 | 2026-10-22 03:29:02 UTC |
| aaPanel / BT ↗ aapanel | 8.4 | 8.4.27 | 修复已确认 | 2026-10-22 03:28:58 UTC |
| Homebrew ↗ homebrew | 8.4 | 8.4.27 | 修复已确认 | 2026-10-22 03:28:59 UTC |
| Ubuntu 24.04 ↗ ubuntu-archive | 8.3 | 8.3.6-0ubuntu0.24.04.13 | 修复已确认 | 2026-10-22 03:28:58 UTC |
| Docker ↗ docker-library | 8.3 | 8.3.36 | 修复已确认 | 2026-10-22 03:28:58 UTC |
| cPanel ↗ easyapache4 | 8.3 | — | 修复已确认 | 2026-10-22 03:28:58 UTC |
| Plesk ↗ plesk | 8.3 | 8.3.36 | 修复已确认 | 2026-10-22 03:29:02 UTC |
| aaPanel / BT ↗ aapanel | 8.3 | 8.3.36 | 修复已确认 | 2026-10-22 03:28:58 UTC |
| Homebrew ↗ homebrew | 8.3 | 8.3.36 | 修复已确认 | 2026-10-22 03:28:59 UTC |
| Debian 12 ↗ debian-lts | 8.2 | 8.2.35-1~deb12u1 | 修复已确认 | 2026-10-22 03:28:59 UTC |
| Docker ↗ docker-library | 8.2 | 8.2.35 | 修复已确认 | 2026-10-22 03:28:58 UTC |
| cPanel ↗ easyapache4 | 8.2 | — | 修复已确认 | 2026-10-22 03:28:58 UTC |
| Plesk ↗ plesk | 8.2 | 8.2.35 | 修复已确认 | 2026-10-22 03:29:02 UTC |
| aaPanel / BT ↗ aapanel | 8.2 | 8.2.35 | 修复已确认 | 2026-10-22 03:28:58 UTC |
| Homebrew ↗ homebrew | 8.2 | 8.2.35 | 修复已确认 | 2026-10-22 03:29:00 UTC |
| Ubuntu 22.04 ↗ ubuntu-archive | 8.1 | 8.1.2-1ubuntu2.28 | 厂商回补已确认 | 2026-10-22 03:28:58 UTC |
| cPanel ↗ easyapache4 | 8.1 | — | 厂商回补已确认 | 2026-10-22 03:28:58 UTC |
| Plesk ↗ plesk | 8.1 | — | 厂商回补已确认 | 2026-10-22 03:29:02 UTC |
| aaPanel / BT ↗ aapanel | 8.1 | — | 状态未确认，请查看厂商公告 | 2026-10-22 03:28:58 UTC |
| cPanel ↗ easyapache4 | 8.0 | — | 厂商回补已确认 | 2026-10-22 03:28:58 UTC |
| Plesk ↗ plesk | 8.0 | — | 厂商回补已确认 | 2026-10-22 03:29:02 UTC |
| aaPanel / BT ↗ aapanel | 8.0 | — | 状态未确认，请查看厂商公告 | 2026-10-22 03:28:58 UTC |
| cPanel ↗ easyapache4 | 7.4 | — | 厂商回补已确认 | 2026-10-22 03:28:58 UTC |
| Plesk ↗ plesk | 7.4 | — | 厂商回补已确认 | 2026-10-22 03:29:02 UTC |
| aaPanel / BT ↗ aapanel | 7.4 | — | 状态未确认，请查看厂商公告 | 2026-10-22 03:28:58 UTC |
| Ubuntu 20.04 ↗ ubuntu-esm | 7.4 | 7.4.3-4ubuntu2.29+esm5 | 厂商回补已确认 | 2026-10-22 03:29:00 UTC |
| Ubuntu 18.04 ↗ ubuntu-esm | 7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 | 厂商回补已确认 | 2026-10-22 03:29:00 UTC |
| Ubuntu 16.04 ↗ ubuntu-esm | 7.0 | 7.0.33-0ubuntu0.16.04.16+esm22 | 厂商回补已确认 | 2026-10-22 03:29:00 UTC |
| Ubuntu 14.04 ↗ ubuntu-esm | 5.5 | 5.5.9+dfsg-1ubuntu4.29+esm18 | 厂商回补已确认 | 2026-10-22 03:29:00 UTC |
PHP 漏洞 · Rocky Linux
| 分支 / 厂商 | 已修复软件包 | PHP2Shell · 状态 |
|---|---|---|
| PHP 7.4 rocky-linux · Rocky Linux 8 · php:7.4 | 按系统查看完整修订号Rocky Linux 8 · php:7.4 · x86_64 · php-cli Rocky Linux 8 · php:7.4 · x86_64 · php-common Rocky Linux 8 · php:7.4 · x86_64 · php-fpm Rocky Linux 8 · php:7.4 · aarch64 · php-cli Rocky Linux 8 · php:7.4 · aarch64 · php-common Rocky Linux 8 · php:7.4 · aarch64 · php-fpm 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 04:44:41 UTC |
Rocky Linux 8 AppStream 已发布 php:7.4 的 PHP 漏洞回补，RLSA-2026:87080 覆盖两个 CVE。已下载 x86_64 和 aarch64 的 CLI、common、FPM RPM，并核对其校验和与官方软件包及公告元数据一致。请展开查看完整修订；这不能确认其他分支、系统版本或 AlmaLinux 的状态。本站未实测安装和服务重启，检查器也不会自动比较这些 RPM 修订。
PHP 漏洞 · BT: Linux / Windows
宝塔确认 Linux 和 Windows 面板的 PHP 8.2–8.5 已获得 PHP 漏洞修复。刷新软件列表后，分别更新各网站的运行环境。本站未实测面板安装和重启。
宝塔确认 PHP 7.4、8.0、8.1 的 PHP 漏洞回补仅适用于 Linux。7.4.34、8.0.27、8.1.35 是宝塔 Linux 包的标签，并非上游发布；不能据此判断宝塔 Windows 或其他厂商的软件包已修复。请在面板核对更新后的构建，本站未实测安装。
宝塔尚未公布 Windows 面板 PHP 8.1 及更早分支的 PHP 漏洞修复包。厂商提供关闭 session 上传进度的缓解说明，仅针对 CVE-2026-109619，不能修复 CVE-2026-109618。请规划迁移至受支持且已修复的分支。Linux 回补包标签不能作为 Windows 已修复的证据。
BT · 平台指南 →为什么版本号看起来仍然很旧？
Ubuntu、Debian 等发行版可能把安全补丁加入旧分支。判断 PHP 漏洞是否已修复，需要完整软件包版本、发行版和软件源，不能只比较 PHP 的短版本号。
详细升级指南已提供中文；各语言共用同一份版本与修复核对记录。
检查器能确认什么？
它只能比较你提供的信息。它不知道负载均衡后的其他节点、仍未重启的旧进程或自定义补丁是否生效。没有确认结果时，查看平台公告或请主机商核对。
在线版本检测 →临时缓解，不是完整修复
关闭 session 上传进度只缓解 CVE-2026-109619 已确认的部分路径，不修复 CVE-2026-109618。配置须在请求解析前生效，并重启所有 PHP worker。其余 session 加固设置不能作为已修复的证据。
session.upload_progress.enabled = Off来源与核对记录
核对时间: 2026-10-22 04:46:46 UTC
- PHP security advisory and downloads ↗
- Supported PHP branches ↗
- End-of-life PHP branches ↗
- CVE-2026-109618 ↗
- CVE-2026-109619 ↗
- Ubuntu: ubuntu-archive ↗
- Docker: docker-library ↗
- cPanel: easyapache4 ↗
- Plesk: plesk ↗
- aaPanel / BT: aapanel ↗
- Homebrew: homebrew ↗
- Debian: debian-lts ↗
- Homebrew: homebrew ↗
- Homebrew: homebrew ↗
- Homebrew: homebrew ↗
- Ubuntu: ubuntu-esm ↗
- bt: bt ↗
- RHEL, AlmaLinux & Rocky: rocky-linux ↗
- Rocky Linux 8 x86_64: package metadata ↗
- Rocky Linux 8 x86_64: RLSA-2026:87080 update metadata ↗
- Rocky Linux 8 aarch64: package metadata ↗
- Rocky Linux 8 aarch64: RLSA-2026:87080 update metadata ↗