文章摘要
原文摘要

2026 年 10 月 22 日更新：PHP 官方已于 10 月 21 日发布修复版本。仍在使用受影响版本的站点，请尽快安排升级。下文保留早间预警的时间背景，并补充后续公布的信息。查看官方公告

早间预警：今晚 22:00，关注 PHP 安全更新

PHP 官方在 2026 年 10 月 20 日发布安全预告：即将修复两项严重漏洞，CVSS v4.0 评分均为 9.2 分。

按照当时的计划，修复版本将于 2026 年 10 月 21 日 14:00 UTC，也就是北京时间当晚 22:00 发布。这里的“今晚”指 10 月 21 日，并非阅读文章当天。

预告阶段，官方尚未披露完整影响范围、漏洞细节和修复版本，建议 PHP 用户提前准备，在更新可用后尽快升级。阅读 PHP 官方预告

如果你维护着 PHP 网站，可以先整理站点使用的 PHP 版本、扩展和配置，完成备份，留出升级与回归检查的时间。

后续更新：两项漏洞是什么

以下信息来自 10 月 21 日正式公开的漏洞公告，不属于早间预告已知的信息。

漏洞编号 问题概述 严重程度
CVE-2026-109618 内存耗尽时，请求处理可能在内部数据尚未完成初始化的情况下被中断，后续清理错误地使用这些数据，导致远程代码执行。 Critical，CVSS v4.0 9.2
CVE-2026-109619 请求结束后，部分全局状态仍引用已经释放的内存；同一工作进程处理后续请求时，可能访问这些失效状态，导致远程代码执行。 Critical，CVSS v4.0 9.2

这是 PHP 运行时层面的问题。 官方将 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed 等处理 Web 请求的部署列入风险关注范围。其中，mod_php 已有在应用代码执行前触发攻击的验证，不能只靠检查业务代码来判断安全。查看官方风险说明

使用 PHP-FPM 也不能直接排除风险：第二项漏洞的相关路径已在 FPM 环境中验证可导致远程代码执行。具体可利用条件取决于运行方式、配置及应用行为。查看对应技术公告

截至本文更新，所核对的官方公告尚未确认在野利用情况；验证可利用，不等于已经确认发生真实攻击，也不代表可以推迟修复。

应当升级到哪些版本

两份官方漏洞公告列出的修复版本相同。对于仍受支持的分支，请至少更新到以下版本，或后续包含相同修复的正式版本：

当前 PHP 分支 本次修复版本
PHP 8.2 8.2.35
PHP 8.3 8.3.36
PHP 8.4 8.4.27
PHP 8.5 8.5.12

同一分支低于上述修复版本的上游版本，应按公告进行处理。版本对应关系可在 PHP 官方漏洞公告中核对，PHP 8.4 用户也可以查看 8.4.27 发布说明。

如果使用 Linux 发行版或其他供应商提供的 PHP 包，还要查看供应商的安全公告和包修订号。有些安全修复会回补到现有版本中，不能只凭 php -v 显示的上游版本号判断补丁状态。官方更新说明

PHP 8.1 及更旧分支已结束 PHP 项目的正常维护。仍在使用这些版本的站点，应确认供应商是否提供修复，并安排迁移到受支持版本。PHP 版本支持政策

使用宝塔面板，可以按这个顺序处理

下面是升级时的操作建议。具体更新入口与可用补丁，以当前面板和 PHP 软件包供应商的说明为准。

  1. 逐站点确认 PHP 版本。 一台服务器可能同时安装多个 PHP 版本，先记录每个站点实际使用的版本和运行方式。终端里的默认 PHP，不一定就是网站正在使用的 PHP。
  2. 做好可恢复的备份。 保存网站文件、数据库、PHP 配置和扩展清单，确认备份可用，再安排变更。
  3. 确认更新包含本次修复。 查看面板或软件包的更新说明，核对上述两个 CVE。若更新源尚未提供补丁，联系供应商确认，不要把“更新了面板”当作“更新了 PHP”。
  4. 更新对应 PHP 服务。 优先在现有分支内安装包含修复的版本；需要跨分支升级时，先验证程序和扩展兼容性。重启对应的 PHP 服务，确保旧工作进程已经退出。
  5. 检查真实站点。 测试首页、后台登录、会话、表单和文件上传等实际功能，同时查看 Web 服务和 PHP 日志。多版本环境要逐一确认，避免遗漏仍被站点使用的旧实例。

如果临时使用诊断页面核对 Web 环境，检查后及时删除，避免把配置详情长期暴露在公网。

暂时无法升级时怎么办

官方明确指出，安装包含修复的版本，才是完整修复方案。配置调整只能缓解部分路径，不能据此认定站点已经安全。OOM 漏洞修复说明、全局状态漏洞修复说明

补丁尚未到位时，建议缩短对外暴露的时间，必要时在反向代理层暂时限制相关站点访问，并联系维护人员安排更新。任何临时措施都应记录影响范围和恢复方式，补丁安装后再完成验证。

这类更新值得专门留出一个维护窗口：确认实际运行的 PHP 已经修复，再检查站点功能，比只看到安装成功更可靠。

官方资料