PHP 8.3

PHP 8.3 是否受 PHP2Shell 影响？

PHP 安全团队把 8.3.36 之前的 PHP 8.3 列入两个 CVE 的受影响范围。PHP 8.3.36 是这个分支里同时关上它们的第一个上游发行版。不低于 8.3.36 的版本字符串只是项目公布的比较标准，不能证明 Web 服务器已经重启到那个二进制文件。

最近更新 2026-10-22

PHP 8.3 分支的事实。来源列是说出该格内容的页面，不是本站的第二种意见。

事实	来源怎么说	来源
受影响范围	8.3.36 之前的 PHP 8.3	oss-security
上游修复	2026 年 10 月 21 日的 8.3.36，或同分支的后续版本	php.net
两个 CVE	同一个发行版关上 CVE-2026-109618 和 CVE-2026-109619。没有第二个补丁号。	php.net
严重性	PHP 安全团队对每个 CVE 给出的 CVSS v4.0 为 9.2	oss-security
适用范围	提供网页请求的安装。PHP 把 Apache mod_php 列为最高风险。PHP-FPM 也在范围内。	php.net
应当怎么做	升级到 8.3.36 或更新版本并重启工作进程。CISA 要求立即修补。防火墙不是完整修复。	CISA；php.net

怎么读版本字符串

把主版本.次版本.补丁号与 8.3.36 比较。8.3 分支里低于该三元组的版本，就是安全团队列出的范围。版本检查器在浏览器里做这个比较，看不出发行版是否把修复回移植到一个更老的版本号上。在这个仍受支持的分支上，上游修复本身就是版本号提升，因此低于 8.3.36 的三元组不是 php.net 的修复。

包装上之后，请核对回答 HTTP 的 SAPI，而不是只看管理 shell 里的 php -v。重启 php-fpm 或 Apache，让新二进制文件去对外服务。apt、dnf、Docker、cPanel 和 Plesk 的步骤在修复页。宝塔面板的点击路径在宝塔页面。

其他分支

PHP 8.3 是否受影响？

在 8.3.36 之前，是。Jakub Zelenka 的 oss-security 说明把 8.3.36 之前的 PHP 8.3 列为 CVE-2026-109618 的受影响版本，并与 CVE-2026-109619 处于同一次发布。php.net 公告把二者放在一起处理。

哪个 PHP 8.3 版本修复了它？

2026 年 10 月 21 日发布的 PHP 8.3.36，或 8.3 分支的后续版本。这是 CVE-2026-109618 和 CVE-2026-109619 的上游修复。安装之后，重启 Apache、PHP-FPM，或实际对外服务的 SAPI。

8.3.36 是否同时修复两个 CVE？

PHP 项目为两个缺陷发布的是同一组版本。8.3 没有一个只修 CVE-2026-109618、另一个只修 CVE-2026-109619 的补丁号。

防火墙或修改 php.ini 是否足够？

不够。PHP 项目称更新是唯一完整的修复。临时设置只能收窄特定路径，修复页上有抄录。它们不能代替 PHP 8.3.36。

来源

出站链接将离开本站。本站不托管利用代码。

News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
GHSA-w8hw-w9fx-j79w — CVE-2026-109618 — PHP (GitHub Security Advisory)
GHSA-6wmf-4rv5-p3rp — CVE-2026-109619 — PHP (GitHub Security Advisory)