PHP2Shell 各 Linux 发行版修复对比

各发行版修复包版本

怎么看这张表

• 像 8.3.6-0ubuntu0.24.04.13 这样的版本虽然远低于 php.net 的 8.3.36，但可能已经修复。Ubuntu 和 Debian 是回移补丁，只比较上游版本号的扫描器会误报。
• Red Hat、SUSE 和 Amazon 把两个 CVE 评为 Important，CVSS v3 为 8.1（攻击复杂度高），NVD 给的是 9.8。Red Hat 指出 RHEL 默认用 PHP-FPM 而不是 mod_php，实际利用更难，但仍然发布修复。
• Ubuntu 14.04、16.04 到 20.04 只能通过 Ubuntu Pro 获得修复，没有 Pro 就仍受影响。
• 第三方源（Ondřej Surý 的 PPA 和 DEB.SURY.ORG、Remi、IUS、面板自带构建）是独立的软件包，请到产品自查里单独查看。

受支持渠道里还没修复的

• RHEL 8、9、10：Red Hat 表示部分更新已发布，其余仍在进行中。请关注 RHSB-2026-013，并运行 dnf updateinfo list --security。
• SLES 15 SP4 到 SP6、openSUSE Leap 和 SUSE BCI php 镜像仍标为受影响；SLES 16.0 的修复包还在 QA。
• Amazon Linux 2023 的 php8.1 和 Amazon Linux 2 核心 php 标为不计划修复，请换到 php8.2 或更新版本。
• 核对时 Debian forky（testing）还是 8.4.26-1，修复已在 sid 的 8.4.27-1 中。

查看自己装的是哪个包

下面这些只读命令会显示已安装版本，请与上表中你所用版本的修复版本对比。

# Debian / Ubuntu: installed PHP package versions
dpkg -l 'php*' | awk '/^ii/ {print $2, $3}'
# Debian / Ubuntu: changelog mentions the CVE?
apt changelog php8.2 2>/dev/null | grep -m3 -E 'CVE-2026-10961(8|9)'

# RHEL family / SUSE / Amazon Linux
rpm -qa 'php*' | sort
rpm -q --changelog php-common 2>/dev/null | grep -m3 -E 'CVE-2026-10961(8|9)'

# Alpine
apk info -v | grep '^php'

# Then restart what serves PHP (examples)
systemctl restart php8.2-fpm   # or php-fpm, apache2, httpd