End of life

Is PHP 5 tot en met 8.1 getroffen, en welke versie lost het op?

Er is geen officiële PHP-release die deze twee CVE’s onder PHP 8.1 of ouder oplost. Het PHP-project publiceerde alleen minimale broncode-backports voor 7.4, 8.0 en 8.1. Daaronder hanteren de geciteerde analyses geen eenduidig bereik, dus bewaart deze pagina de tegenstrijdigheid in plaats van haar glad te strijken.

Laatst bijgewerkt 2026-10-22

De cellen spreken elkaar bewust tegen. Lees de bronkolom voordat u een rij als bereik overneemt.

Uitspraak	Wat deze bron zegt	Bron
Door PHP met een release gepatchte takken	8.2 vóór 8.2.35, 8.3 vóór 8.3.36, 8.4 vóór 8.4.27, 8.5 vóór 8.5.12	oss-security
PHP 8.1 en ouder	Geen updates meer van het PHP-project. Minimale broncode-backports alleen voor 7.4, 8.0 en 8.1, voor wie zelf bouwt.	php.net
Ondergrens bij Google Cloud	Alle versies van PHP 5.4 tot en met 8.5.11	Google Cloud
Ondergrens bij Cloudflare	PHP 5.4 of nieuwer	Cloudflare
Wiz	De fouten gaan terug tot PHP 5.4; vrijwel elke versie van het afgelopen decennium is door minstens één getroffen	Wiz
watchTowr, FAQ van 20 oktober	PHP 5, 7 en 8 in het algemeen. Geschreven vóór het definitieve advies.	watchTowr FAQ
Correctie van Expel	Backports tonen 7.4, 8.0 en 8.1 als getroffen. PHP heeft 7.3 en ouder in het bekeken materiaal niet uitdrukkelijk bevestigd.	Expel
Als bijwerken niet mogelijk is	Systeem van het netwerk halen, uitdrukkelijk ook PHP 8.1 en ouder	CISA
Geen PHP-release	De Linux-pakketten 7.4.34, 8.0.31 en 8.1.35 van 宝塔 zijn paneelbuilds; volgens het advies bevatten ze beide fixes. Windows krijgt deze drie pakketten niet.	宝塔-advies

Wat „opgelost” op deze takken kan betekenen

Een versienummer als 8.1.34 of 7.4.33 zegt niet of een backport van de distributie is geïnstalleerd. De controle deelt deze lijnen daarom in als end of life. cPanel en Plesk hebben eigen buildaanduidingen gepubliceerd, zie de leverancierspagina. De nummers van 宝塔 staan alleen op de BT-Panel-pagina, en daar worden voor 7.4, 8.0 en 8.1 alleen de Linux-pakketten geclaimd.

De ondersteunde weg weg van deze pagina is een upgrade naar 8.2.35, 8.3.36, 8.4.27 of 8.5.12. PHP 5 vóór 5.4 is bij Wiz, Google Cloud en Cloudflare niet de ondergrens – en toch geen versie die op internet thuishoort.

Ondersteunde takken

Is PHP 8.1 getroffen?

PHP heeft op 21 oktober 2026 geen 8.1-release gepubliceerd, wel een minimale broncode-backport voor 8.1 – een bewijs dat 8.1 getroffen was, maar geen installeerbaar pakket van php.net. De CISA adviseert PHP 8.1 en ouder van het netwerk te halen als bijwerken niet mogelijk is. Een leveranciersbuild kan de backport bevatten zonder nieuw upstream-versienummer, daarom herkent de versiecontrole hem niet.

Zijn PHP 7.4 of 8.0 getroffen?

Net als bij 8.1: geen nieuwe officiële release, maar voor beide is er een minimale broncode-backport. Expel merkt 7.4, 8.0 en 8.1 op basis van de backports aan als getroffen. Werk bij naar 8.2.35 of nieuwer of bevestig een concreet aanwijsbare backport van een leverancier.

Zijn PHP 5.4 of PHP 7.3 en ouder getroffen?

Wiz, Google Cloud en Cloudflare beschrijven impact van PHP 5.4 tot de laatste 8.5-builds vóór de patch. De FAQ van watchTowr van vóór het advies noemde PHP 5, 7 en 8 in het algemeen. Expel zegt dat PHP 7.3 en ouder in het bekeken materiaal niet uitdrukkelijk heeft bevestigd. Deze rij is een tegenstrijdigheid, geen geruststelling. Laat deze versies niet op internet staan.

Welke versie lost PHP 5 tot en met 8.1 op?

Geen officiële PHP-versie in deze lijnen. De ondersteunde fixes zijn 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Sommige leveranciers leveren eigen pakketten: het Linux-advies van 宝塔 noemt 7.4.34, 8.0.31 en 8.1.35, en die nummers zijn geen releases van het PHP-project.

Bronnen

Externe links verlaten deze site. Wij hosten geen exploitcode.

News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — Google Cloud
Cloudflare deploys protections against php2shell vulnerability — Cloudflare
FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
PHP 与 Node.js 紧急安全更新公告（更新于 2026-10-22） — 宝塔面板 (BT Panel)