先备份应用、配置与数据，并在测试环境验证。处理 PHP 漏洞 时，只使用当前安装的软件源和分支。
PHP 漏洞：厂商软件包状态
| 分支 / 厂商 | 已修复软件包 | PHP2Shell · 状态 |
|---|---|---|
| PHP 8.5 plesk | 8.5.12 厂商来源 ↗ | 修复已确认 核对时间: 2026-10-22 03:29:02 UTC |
| PHP 8.4 plesk | 8.4.27 厂商来源 ↗ | 修复已确认 核对时间: 2026-10-22 03:29:02 UTC |
| PHP 8.3 plesk | 8.3.36 厂商来源 ↗ | 修复已确认 核对时间: 2026-10-22 03:29:02 UTC |
| PHP 8.2 plesk | 8.2.35 厂商来源 ↗ | 修复已确认 核对时间: 2026-10-22 03:29:02 UTC |
| PHP 8.1 plesk | 已修复软件包 — 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 03:29:02 UTC |
| PHP 8.0 plesk | 已修复软件包 — 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 03:29:02 UTC |
| PHP 7.4 plesk | 已修复软件包 — 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 03:29:02 UTC |
“已确认”表示厂商已发布修复，不代表你的服务器已经更新。“未确认”表示尚无适用于该组合的已核实包版本。
确认 PHP 漏洞 修复来自哪个软件源
发行版软件包、第三方仓库、容器镜像和面板管理的 PHP 可能是不同安装。核对操作系统、架构、软件源和网站分配的运行时；同一个短版本号可能对应不同补丁状态。
源码上传、计划发布日期或 RC 标签都不能证明 PHP 漏洞 修复包已经发布。
PHP 8.5：更新、重启和验证
plesk
Plesk 确认 Linux、Windows 网站 PHP 已修复。独立的 sw-engine 修复现已随两个系统的 Plesk Obsidian 18.0.81 Update 4 和 18.0.80 Update 11 发布。需要同时核对面板构建和各网站运行时；本站尚未实测安装及重启。
核对时间: 2026-10-22 03:29:02 UTC · 厂商来源 ↗
PHP 8.4：更新、重启和验证
plesk
Plesk 确认 Linux、Windows 网站 PHP 已修复。独立的 sw-engine 修复现已随两个系统的 Plesk Obsidian 18.0.81 Update 4 和 18.0.80 Update 11 发布。需要同时核对面板构建和各网站运行时；本站尚未实测安装及重启。
核对时间: 2026-10-22 03:29:02 UTC · 厂商来源 ↗
PHP 8.3：更新、重启和验证
plesk
Plesk 确认 Linux、Windows 网站 PHP 已修复。独立的 sw-engine 修复现已随两个系统的 Plesk Obsidian 18.0.81 Update 4 和 18.0.80 Update 11 发布。需要同时核对面板构建和各网站运行时；本站尚未实测安装及重启。
核对时间: 2026-10-22 03:29:02 UTC · 厂商来源 ↗
PHP 8.2：更新、重启和验证
plesk
Plesk 确认 Linux、Windows 网站 PHP 已修复。独立的 sw-engine 修复现已随两个系统的 Plesk Obsidian 18.0.81 Update 4 和 18.0.80 Update 11 发布。需要同时核对面板构建和各网站运行时；本站尚未实测安装及重启。
核对时间: 2026-10-22 03:29:02 UTC · 厂商来源 ↗
PHP 8.1：更新、重启和验证
plesk
Plesk 确认 Linux 的 PHP 7.4.33、8.0.30、8.1.34 在 2026-10-21 的构建包含两个修复，短版本号不变。必须核对构建日期和分支，相同短版本号的早期构建不够。该结论不涵盖 Windows EOL 包，检查器未采用自动包版本阈值。
核对时间: 2026-10-22 03:29:02 UTC · 厂商来源 ↗
PHP 8.0：更新、重启和验证
plesk
Plesk 确认 Linux 的 PHP 7.4.33、8.0.30、8.1.34 在 2026-10-21 的构建包含两个修复，短版本号不变。必须核对构建日期和分支，相同短版本号的早期构建不够。该结论不涵盖 Windows EOL 包，检查器未采用自动包版本阈值。
核对时间: 2026-10-22 03:29:02 UTC · 厂商来源 ↗
PHP 7.4：更新、重启和验证
plesk
Plesk 确认 Linux 的 PHP 7.4.33、8.0.30、8.1.34 在 2026-10-21 的构建包含两个修复，短版本号不变。必须核对构建日期和分支，相同短版本号的早期构建不够。该结论不涵盖 Windows EOL 包，检查器未采用自动包版本阈值。
核对时间: 2026-10-22 03:29:02 UTC · 厂商来源 ↗
PHP 漏洞：暂时无法升级时
临时缓解不能完整修复 PHP 漏洞。关闭 session 上传进度只能缓解 CVE-2026-109619 已确认的部分路径，不能修复 CVE-2026-109618，也不能排除其他残留状态路径。
session.upload_progress.enabled = Off在网站运行时使用的配置中、请求解析前生效，并重启全部 PHP worker。不要依赖应用中的 ini_set() 或 FPM 的 .user.ini。修改会停用 PHP 内置的 session 上传进度功能。
cleanup、strict_mode、only_cookies 和 HttpOnly 属于 session 清理或一般加固，不能作为这两个漏洞已修复的证据。官方还讨论请求大小、内存限制与错误回溯设置；取消内存限制有耗尽主机资源的风险。应用其他设置前请阅读公告中的限制并评估可用性影响。
核对时间: 2026-10-21 23:25:00 UTC
PHP 漏洞 更新后的检查
测试关键请求、登录、上传、日志、定时任务和后台 worker。重启所有处理网站请求的 PHP 进程，并核对每个站点的运行版本。保存软件源和完整修订号记录；EOL 分支还需安排迁移。
版本检查器 →常见问题
为什么 PHP 漏洞更新后版本号仍旧？
发行版常把安全补丁回补到原分支，短版本号可以不变。核对完整包修订号、软件源和厂商公告，再检查网站实际运行的 PHP。
更新命令行 PHP 会同时更新网站吗？
不一定。命令行、PHP-FPM 和面板可能使用不同程序。完成 PHP 漏洞更新后，逐个核对网站分配的运行时。
需要重启 PHP worker 吗？
需要。按厂商流程重启 FPM、Apache 和长期运行的应用 worker。只安装软件包，不能证明所有进程已经加载新版本。