非 php.net · 非 NVD · 非 CISA

PHP 漏洞追踪

关于 PHP 安全漏洞的非官方简报

English简体中文日本語DeutschFrançaisNederlandsEspañol

安全警报

PHP2Shell：请升级 PHP。这是唯一完整的修复。

CVE-2026-109618 与 CVE-2026-109619 是 PHP 本体中的严重漏洞，未经身份验证即可远程执行代码。PHP 项目已于 2026 年 10 月 21 日为仍受支持的 8.2 至 8.5 分支发布修复。升级后必须重启 PHP。防火墙不能替代升级。

修复步骤

我的 PHP 版本还安全吗？ · 受支持

PHP 8.5 还安全吗？

PHP 官方为每个分支公布支持日期。PHP 8.5 仍在支持期内，8.5.12 修复了 2026 年 10 月的 PHP2Shell 漏洞。

最近更新

状态一览

项目内容
首次发布2025-11-20
积极支持截止2027-12-31
安全支持截止2029-12-31
PHP2Shell（CVE-2026-109618/109619）8.5.12 之前受影响；8.5.12 已修复（2026 年 10 月 21 日）

怎么做

可以继续用 8.5，但要确认实际跑网站的 SAPI 上 php -v 显示 8.5.12 或更新，然后重启 PHP-FPM 或 Apache。发行版包可能显示较旧的上游版本号但已回移修复，请看发行版对比。

PHP 8.5 · PHP2Shell

其他 PHP 分支

PHP 8.5 受 PHP2Shell 影响吗？

8.5.12 之前的版本受影响。PHP 安全团队把 8.5.12 之前的 8.5 列为两个 CVE 的受影响版本。

PHP 8.5 支持到什么时候？

php.net 列出的 8.5 安全支持截止日期是 2029-12-31。

发行版显示的 8.5 版本号较旧，是否受影响？

不一定。Debian、Ubuntu 等会回移修复，请用完整的软件包版本对照发行版跟踪页。

来源

出站链接将离开本站。本站不托管利用代码。

  1. Supported Versions — PHP project (php.net)
  2. Unsupported Branches — PHP project (php.net)
  3. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  4. CVE-2026-109618 — Ubuntu Security (Canonical)
  5. CVE-2026-109618 — Amazon Linux Security Center