生命周期已结束
PHP 5 至 8.1 是否受影响，哪个版本能修复？
PHP 8.1 及更早版本没有同时修复这两个 CVE 的官方发行版。PHP 项目只为 7.4、8.0 和 8.1 提供了最小源码回移植。再往下，所引文章没有使用同一个范围，所以本页保留分歧，而不是把它压成一行。
最近更新
| 说法 | 该来源怎么说 | 来源 |
|---|---|---|
| PHP 用发行版修补的分支 | 8.2.35 之前的 8.2、8.3.36 之前的 8.3、8.4.27 之前的 8.4、8.5.12 之前的 8.5 | oss-security |
| PHP 8.1 及更早 | PHP 项目不再更新。仅为从源码构建的人提供 7.4、8.0 和 8.1 的最小源码回移植。 | php.net |
| Google Cloud 使用的下界 | PHP 5.4 至 8.5.11 的所有版本 | Google Cloud |
| Cloudflare 使用的下界 | PHP 5.4 或更新版本 | Cloudflare |
| Wiz | 问题回溯到 PHP 5.4，过去十年的几乎每个版本都至少受其中一个影响 | Wiz |
| watchTowr，10 月 20 日问答 | 整个 PHP 5、7 和 8。这写在最终公告之前。 | watchTowr 问答 |
| Expel 的修正 | 回移植表明 7.4、8.0 和 8.1 受影响。在 Expel 读到的材料里，PHP 没有明确确认 7.3 及更早版本。 | Expel |
| 若无法更新 | 将系统下线，明确包括 PHP 8.1 及更早版本 | CISA |
| 不是 PHP 发行版 | 宝塔的 Linux 包 7.4.34、8.0.31 和 8.1.35 是面板构建。公告称其中包含两项修复。Windows 没有这三个包。 | 宝塔公告 |
在这些分支上，“已修复”可以指什么
8.1.34 或 7.4.33 这样的版本号看不出发行版回移植是否已经装上。正因为如此，检查器会把这些产品线标为生命周期已结束。cPanel 和 Plesk 在厂商页公布了自己的构建标识。宝塔的版本号只在宝塔页面，而且 7.4、8.0 和 8.1 只有 Linux 包被这样声称。
离开本页的受支持路径，是升级到 8.2.35、8.3.36、8.4.27 或 8.5.12。5.4 之前的 PHP 5 并不是 Wiz、Google Cloud 或 Cloudflare 措辞里的下界。它仍然不是可以留在互联网上的版本。
仍受支持的分支
- PHP 8.58.5.12 之前受影响。8.5.12 是上游修复。
- PHP 8.48.4.27 之前受影响。8.4.27 是上游修复。
- PHP 8.38.3.36 之前受影响。8.3.36 是上游修复。
- PHP 8.28.2.35 之前受影响。8.2.35 是上游修复。
PHP 8.1 是否受影响？
PHP 在 2026 年 10 月 21 日没有发布 8.1 的发行版。它确实发布了 8.1 的最小源码回移植，这只能说明 8.1 在范围内，而不是 php.net 上可安装的包。CISA 称，若无法更新，应将 PHP 8.1 及更早版本下线。厂商构建可以在不改变上游版本号的情况下带上回移植，因此版本检查器看不见它。
PHP 7.4 或 8.0 是否受影响？
形状与 8.1 相同：没有新的官方发行版，两者都有最小源码回移植。Expel 根据这些回移植把 7.4、8.0 和 8.1 视为受影响。请升级到 8.2.35 或更新的受支持版本，或确认一个你能点名的厂商回移植。
PHP 5.4，或 PHP 7.3 及更早版本，是否受影响？
Wiz、Google Cloud 和 Cloudflare 把影响描述为自 PHP 5.4 起到修补前的 8.5 构建。watchTowr 在公告前的问答里说整个 PHP 5、7 和 8。Expel 称，在它读到的材料里，PHP 没有明确确认 7.3 及更早版本。这一行是分歧，不是安全证明。不要把这些产品线留在互联网上。
哪个版本能修复 PHP 5 至 8.1？
这些产品线里没有官方 PHP 版本可以。受支持的修复是 8.2.35、8.3.36、8.4.27 和 8.5.12。有的厂商发布自己的包：宝塔的 Linux 公告点名 7.4.34、8.0.31 和 8.1.35，这些版本号不是 PHP 项目的发行版。
来源
出站链接将离开本站。本站不托管利用代码。
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
- Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
- Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — Google Cloud
- Cloudflare deploys protections against php2shell vulnerability — Cloudflare
- FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
- Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
- PHP 与 Node.js 紧急安全更新公告（更新于 2026-10-22） — 宝塔面板 (BT Panel)