安全警报

PHP2Shell：请升级 PHP。这是唯一完整的修复。

CVE-2026-109618 与 CVE-2026-109619 是 PHP 本体中的严重漏洞，未经身份验证即可远程执行代码。PHP 项目已于 2026 年 10 月 21 日为仍受支持的 8.2 至 8.5 分支发布修复。升级后必须重启 PHP。防火墙不能替代升级。

我的 PHP 版本还安全吗？ · 受支持

PHP 8.4 还安全吗？

PHP 官方为每个分支公布支持日期。PHP 8.4 仍在支持期内，8.4.27 修复了 2026 年 10 月的 PHP2Shell 漏洞。

最近更新 2026-10-22

状态一览

项目	内容
首次发布	2024-11-21
积极支持截止	2026-12-31
安全支持截止	2028-12-31
PHP2Shell（CVE-2026-109618/109619）	8.4.27 之前受影响；8.4.27 已修复（2026 年 10 月 21 日）

怎么做

可以继续用 8.4，但要确认实际跑网站的 SAPI 上 php -v 显示 8.4.27 或更新，然后重启 PHP-FPM 或 Apache。发行版包可能显示较旧的上游版本号但已回移修复，请看发行版对比。

PHP 8.4 · PHP2Shell

其他 PHP 分支

PHP 8.4 受 PHP2Shell 影响吗？

8.4.27 之前的版本受影响。PHP 安全团队把 8.4.27 之前的 8.4 列为两个 CVE 的受影响版本。

PHP 8.4 支持到什么时候？

php.net 列出的 8.4 安全支持截止日期是 2028-12-31。

发行版显示的 8.4 版本号较旧，是否受影响？

不一定。Debian、Ubuntu 等会回移修复，请用完整的软件包版本对照发行版跟踪页。

来源

出站链接将离开本站。本站不托管利用代码。

Supported Versions — PHP project (php.net)
Unsupported Branches — PHP project (php.net)
News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
CVE-2026-109618 — Ubuntu Security (Canonical)
CVE-2026-109618 — Amazon Linux Security Center