PHP Vulnerability Guide
简体中文

最后更新: 2026-10-22 (UTC)

PHP 漏洞：Ubuntu 的 PHP 8.3 升级指南PHP vulnerability · PHP2Shell · CVE-2026-109618 / CVE-2026-109619 · PHP RCE · PHP security update

PHP 漏洞 PHP2Shell（CVE-2026-109618 / CVE-2026-109619）需要更新网站使用的 PHP。核对软件源、完整包版本和服务进程，再应用 PHP security update，处理 PHP RCE 风险（php vulnerability）。

PHP2Shell · CVE-2026-109618 / CVE-2026-109619

先备份应用、配置与数据，并在测试环境验证。处理 PHP 漏洞 时，只使用当前安装的软件源和分支。

PHP 漏洞：厂商软件包状态

分支 / 厂商已修复软件包PHP2Shell · 状态
PHP 8.3
ubuntu-archive · 24.04		8.3.6-0ubuntu0.24.04.13
厂商来源 ↗		修复已确认
核对时间: 2026-10-22 03:28:58 UTC
PHP 8.3
ondrej-ppa		已修复软件包 —
厂商来源 ↗		修复已确认
核对时间: 2026-10-22 03:28:58 UTC

“已确认”表示厂商已发布修复，不代表你的服务器已经更新。“未确认”表示尚无适用于该组合的已核实包版本。

确认 PHP 漏洞 修复来自哪个软件源

发行版软件包、第三方仓库、容器镜像和面板管理的 PHP 可能是不同安装。核对操作系统、架构、软件源和网站分配的运行时；同一个短版本号可能对应不同补丁状态。

源码上传、计划发布日期或 RC 标签都不能证明 PHP 漏洞 修复包已经发布。

PHP 8.3：更新、重启和验证

ubuntu-archive · 24.04

Ubuntu 已回补修复。请比较完整软件包修订号，不能仅比较 PHP 短版本号。

核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗

更新

sudo apt-get update
apt-cache policy php8.3-fpm
sudo apt-get install -y --only-upgrade 'php8.3*' libapache2-mod-php8.3

重启

service php8.3-fpm restart
service apache2 restart

验证

dpkg-query -W -f='${Package} ${Version}\n' 'php*'
php -v

实测环境: ubuntu:24.04 容器（ARM64）, 2026-10-21 UTC. 仅用于所列软件源和已安装分支，需要管理员权限。先确认扩展与服务名称，再操作生产环境。

ondrej-ppa

Launchpad 的 Jammy、Noble 索引已列出 amd64 和 arm64 的受支持分支修复包。完整修订见架构表；旧分支的回补内容需另行确认。

核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗

更新 → 重启 → 验证

此环境尚未实测，因此不提供可执行升级命令。先备份并测试，按厂商文档更新，重启 PHP，再对照公告验证完整软件包版本。

查看厂商操作文档 ↗

PHP 漏洞：各架构的软件包发布记录

下表是实际软件包索引，不是安装测试。EOL 软件包的构建日期变新不能单独证明补丁已回补。匹配发行版和 CPU 架构，不要仅因另一架构有新版本就切换软件源。

sury · jammy · amd64

核对时间: 2026-10-21T23:22:27.074675+00:00 · 软件包索引 ↗

软件包已发布修订号
php7.4-cli1:7.4.33-31+0~20261021.121+ubuntu22.04~1.gbpe9c428
php8.0-cli1:8.0.30-25+0~20261021.88+ubuntu22.04~1.gbpabebea
php8.1-cli8.1.34-9+0~20261021.82+ubuntu22.04~1.gbp4e430a
php8.2-cli8.2.35-1+0~20261021.94+ubuntu22.04~1.gbp8bff78
php8.3-cli8.3.36-1+0~20261021.88+ubuntu22.04~1.gbp250f7c
php8.4-cli8.4.27-1+0~20261021.57+ubuntu22.04~1.gbp7636b9
php8.5-cli8.5.12-1+0~20261021.27+ubuntu22.04~1.gbp1a3e8a
sury · jammy · arm64

核对时间: 2026-10-22T03:23:57.654114+00:00 · 软件包索引 ↗

软件包已发布修订号
php7.4-cli1:7.4.33-30+0~20260703.120+ubuntu22.04~1.gbp1cce3b
php8.0-cli1:8.0.30-25+0~20261021.88+ubuntu22.04~1.gbpabebea
php8.1-cli8.1.34-8+0~20260703.81+ubuntu22.04~1.gbp86d822
php8.2-cli8.2.34-1+0~20260924.93+ubuntu22.04~1.gbpa3951d
php8.3-cli8.3.35-1+0~20260925.87+ubuntu22.04~1.gbp19383d
php8.4-cli8.4.26-1+0~20260925.56+ubuntu22.04~1.gbp80d95d
php8.5-cli8.5.11-1+0~20260924.26+ubuntu22.04~1.gbpbcb504
sury · noble · amd64

核对时间: 2026-10-21T23:22:27.205680+00:00 · 软件包索引 ↗

软件包已发布修订号
php7.4-cli1:7.4.33-31+0~20261021.121+ubuntu24.04~1.gbpe9c428
php8.0-cli1:8.0.30-25+0~20261021.88+ubuntu24.04~1.gbpabebea
php8.1-cli8.1.34-9+0~20261021.82+ubuntu24.04~1.gbp4e430a
php8.2-cli8.2.35-1+0~20261021.94+ubuntu24.04~1.gbp8bff78
php8.3-cli8.3.36-1+0~20261021.88+ubuntu24.04~1.gbp250f7c
php8.4-cli8.4.27-1+0~20261021.57+ubuntu24.04~1.gbp7636b9
php8.5-cli8.5.12-1+0~20261021.27+ubuntu24.04~1.gbp1a3e8a
sury · noble · arm64

核对时间: 2026-10-22T03:23:57.654232+00:00 · 软件包索引 ↗

软件包已发布修订号
php7.4-cli1:7.4.33-30+0~20260703.120+ubuntu24.04~1.gbp1cce3b
php8.0-cli1:8.0.30-24+0~20260706.87+ubuntu24.04~1.gbpf2cc5a
php8.1-cli8.1.34-8+0~20260703.81+ubuntu24.04~1.gbp86d822
php8.2-cli8.2.34-1+0~20260924.93+ubuntu24.04~1.gbpa3951d
php8.3-cli8.3.35-1+0~20260925.87+ubuntu24.04~1.gbp19383d
php8.4-cli8.4.26-1+0~20260925.56+ubuntu24.04~1.gbp80d95d
php8.5-cli8.5.11-1+0~20260924.26+ubuntu24.04~1.gbpbcb504
ppa · jammy · amd64

核对时间: 2026-10-21T23:22:28.451217+00:00 · 软件包索引 ↗

软件包已发布修订号
php7.4-cli1:7.4.33-31+ubuntu22.04.1+deb.sury.org+1
php8.0-cli1:8.0.30-25+ubuntu22.04.1+deb.sury.org+1
php8.1-cli8.1.34-9+ubuntu22.04.1+deb.sury.org+1
php8.2-cli8.2.35-1+ubuntu22.04.1+deb.sury.org+1
php8.3-cli8.3.36-1+ubuntu22.04.1+deb.sury.org+1
php8.4-cli8.4.27-1+ubuntu22.04.1+deb.sury.org+1
php8.5-cli8.5.12-1+ubuntu22.04.1+deb.sury.org+1
ppa · jammy · arm64

核对时间: 2026-10-21T23:22:28.653871+00:00 · 软件包索引 ↗

软件包已发布修订号
php7.4-cli1:7.4.33-31+ubuntu22.04.1+deb.sury.org+1
php8.0-cli1:8.0.30-25+ubuntu22.04.1+deb.sury.org+1
php8.1-cli8.1.34-9+ubuntu22.04.1+deb.sury.org+1
php8.2-cli8.2.35-1+ubuntu22.04.1+deb.sury.org+1
php8.3-cli8.3.36-1+ubuntu22.04.1+deb.sury.org+1
php8.4-cli8.4.27-1+ubuntu22.04.1+deb.sury.org+1
php8.5-cli8.5.12-1+ubuntu22.04.1+deb.sury.org+1
ppa · noble · amd64

核对时间: 2026-10-21T23:22:28.672436+00:00 · 软件包索引 ↗

软件包已发布修订号
php7.4-cli1:7.4.33-31+ubuntu24.04.1+deb.sury.org+1
php8.0-cli1:8.0.30-25+ubuntu24.04.1+deb.sury.org+1
php8.1-cli8.1.34-9+ubuntu24.04.1+deb.sury.org+1
php8.2-cli8.2.35-1+ubuntu24.04.1+deb.sury.org+1
php8.3-cli8.3.36-1+ubuntu24.04.1+deb.sury.org+1
php8.4-cli8.4.27-1+ubuntu24.04.1+deb.sury.org+1
php8.5-cli8.5.12-1+ubuntu24.04.1+deb.sury.org+1
ppa · noble · arm64

核对时间: 2026-10-21T23:22:28.910028+00:00 · 软件包索引 ↗

软件包已发布修订号
php7.4-cli1:7.4.33-31+ubuntu24.04.1+deb.sury.org+1
php8.0-cli1:8.0.30-25+ubuntu24.04.1+deb.sury.org+1
php8.1-cli8.1.34-9+ubuntu24.04.1+deb.sury.org+1
php8.2-cli8.2.35-1+ubuntu24.04.1+deb.sury.org+1
php8.3-cli8.3.36-1+ubuntu24.04.1+deb.sury.org+1
php8.4-cli8.4.27-1+ubuntu24.04.1+deb.sury.org+1
php8.5-cli8.5.12-1+ubuntu24.04.1+deb.sury.org+1

PHP 漏洞：暂时无法升级时

临时缓解不能完整修复 PHP 漏洞。关闭 session 上传进度只能缓解 CVE-2026-109619 已确认的部分路径，不能修复 CVE-2026-109618，也不能排除其他残留状态路径。

session.upload_progress.enabled = Off

在网站运行时使用的配置中、请求解析前生效，并重启全部 PHP worker。不要依赖应用中的 ini_set() 或 FPM 的 .user.ini。修改会停用 PHP 内置的 session 上传进度功能。

cleanup、strict_mode、only_cookies 和 HttpOnly 属于 session 清理或一般加固，不能作为这两个漏洞已修复的证据。官方还讨论请求大小、内存限制与错误回溯设置；取消内存限制有耗尽主机资源的风险。应用其他设置前请阅读公告中的限制并评估可用性影响。

核对时间: 2026-10-21 23:25:00 UTC

厂商来源 ↗

厂商来源 ↗

PHP 漏洞 更新后的检查

测试关键请求、登录、上传、日志、定时任务和后台 worker。重启所有处理网站请求的 PHP 进程，并核对每个站点的运行版本。保存软件源和完整修订号记录；EOL 分支还需安排迁移。

版本检查器 →

查看跨版本迁移指南 →

常见问题

为什么 PHP 漏洞更新后版本号仍旧？

发行版常把安全补丁回补到原分支，短版本号可以不变。核对完整包修订号、软件源和厂商公告，再检查网站实际运行的 PHP。

更新命令行 PHP 会同时更新网站吗？

不一定。命令行、PHP-FPM 和面板可能使用不同程序。完成 PHP 漏洞更新后，逐个核对网站分配的运行时。

需要重启 PHP worker 吗？

需要。按厂商流程重启 FPM、Apache 和长期运行的应用 worker。只安装软件包，不能证明所有进程已经加载新版本。

来源与核对记录

核对时间: 2026-10-22 03:29:51 UTC