受影响版本
哪些 PHP 版本受 PHP2Shell 影响？
能够同时关上两个 CVE 的上游版本号只有 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，或同一分支的后续版本。更老的分支都需要限定语，因为公开文章没有使用同一个范围。
最近更新
| 分支 | 所引来源中的状态 | 上游修复 |
|---|---|---|
| 8.5.12 之前的 8.5 | PHP 安全团队列为受影响 | 8.5.12 |
| 8.4.27 之前的 8.4 | PHP 安全团队列为受影响 | 8.4.27 |
| 8.3.36 之前的 8.3 | PHP 安全团队列为受影响 | 8.3.36 |
| 8.2.35 之前的 8.2 | PHP 安全团队列为受影响 | 8.2.35 |
| 8.1 | 没有官方发行版。PHP 称已发布最小源码回移植。 | 升级，或自行核实的厂商/源码回移植 |
| 8.0 与 7.4 | 与 8.1 相同：有源码回移植，没有新的上游发行版。 | 升级，或自行核实的厂商/源码回移植 |
| 7.3 及更早，下至 5.4 | Wiz、Google Cloud 和 Cloudflare 把影响描述为自 5.4 起。Expel 称 PHP 没有说明 7.3 及更早版本是否受影响。 | 这些产品线没有上游修复。应计划迁出。 |
| 5.4 之前的 PHP 5 | 不是 Wiz、Google Cloud 或 Cloudflare 措辞中的下界。watchTowr 在公告前的问答里笼统地说了 PHP 5。 | 不要继续放在互联网上。这一行是不确定，不是安全证明。 |
按分支阅读
- PHP 8.58.5.12 之前受影响。该版本是上游修复。
- PHP 8.48.4.27 之前受影响。该版本是上游修复。
- PHP 8.38.3.36 之前受影响。该版本是上游修复。
- PHP 8.28.2.35 之前受影响。该版本是上游修复。
- PHP 5 至 8.1没有官方发行版。各文的下界并不相同。
- 宝塔面板Linux 上 7.4、8.0 和 8.1 的包不是 php.net 的发行版。
为什么 8.2 以下有空档
Jakub Zelenka 的 oss-security 邮件把受影响版本写成四个受支持分支在相应补丁级别之前的版本。这句话说的是安全团队用发行版去修补的版本。它本身并不是“8.1 不受影响”。php.net 公告称 8.1 及更早版本不再从 PHP 项目获得更新，让运营者去找发行版和 LTS 回移植，并称安全团队为从源码构建的人提供了 7.4、8.0 和 8.1 的最小源码回移植。发布回移植说明这三个分支在范围内。它不是你可以从 php.net 用 apt 安装的受支持发行版。
Wiz 称问题回溯到 PHP 5.4，过去十年的几乎每个版本都至少受其中一个影响。Google Cloud 写的是“PHP 5.4 至 8.5.11 的所有版本”。Cloudflare 写的是“PHP 5.4 或更新版本”。ThreatCluster 指出 session.upload_progress 自 PHP 5.4.0 起存在且默认开启；这项功能是 CVE-2026-109619 被点名的一条路径，不能证明每条代码路径都停在 5.4。watchTowr 在 10 月 20 日写道，这些缺陷影响全部的 PHP 5、7 和 8。Expel 后来的通知是谨慎的修正：早期“整个 PHP 5”的说法跑在了厂商文本前面；在 Expel 读到的材料里，PHP 没有明确确认 7.3 及更早版本；尽管如此，网上的生命周期已结束的 PHP 仍应假定有风险。
检查器只比较版本号
它完全在你的浏览器里运行，不会把版本号发送出去。它只能告诉你一个三元组是否至少达到 8.2.35、8.3.36、8.4.27 或 8.5.12。它看不出 Ubuntu、RHEL、cPanel 或容器厂商有没有把修复回移植到一个更老的版本号上。它也看不到 Web 服务器实际加载了哪一个二进制文件。升级之后，请比较 php-fpm -v 或 Apache 模块的构建，重启服务，然后再检查一次。
来源
出站链接将离开本站。本站不托管利用代码。
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
- Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
- Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — Google Cloud
- Cloudflare deploys protections against php2shell vulnerability — Cloudflare
- FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
- Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
- Security advisory: critical unauthenticated RCE in PHP (“php2shell”) — University of Toronto Information Security