各个旧分支的现状
| 分支 | 支持结束 | PHP 项目针对 PHP2Shell 提供的内容 |
|---|---|---|
| 8.1 | 2025 年 12 月 31 日 | 源码分支 PHP-8.1-CVE-2026-109618-109619 |
| 8.0 | 2023 年 11 月 26 日 | 源码分支 PHP-8.0-CVE-2026-109618-109619 |
| 7.4 | 2022 年 11 月 28 日 | 源码分支 PHP-7.4-CVE-2026-109618-109619 |
| 7.3 及更早 | 更早 | 无 |
源码分支只是代码。得有人把它编译成软件包再发布出来，可能是你自己、你的发行版，或者某个厂商。各分支的页面见 8.1 和 7.4。
上游停止支持，并不总是意味着没有补丁。你的发行版也许还在维护它当初带的那个版本。
四条路
1. 升级到受支持的分支
只有这条路能把下一个漏洞也一并覆盖。8.3.36 和 8.4.27 已修复 PHP2Shell，分别支持到 2027 年底和 2028 年底。代价是测试时间，有时还要改代码。步骤见 PHP 8.3。
2. 使用发行版的软件包
Ubuntu、Debian、Red Hat 和 CloudLinux 会在对应发行版受支持期间，给自己带的 PHP 版本打补丁，有的只在 Ubuntu Pro 这类付费计划里提供。费用通常为零。限制是只在你的操作系统版本仍受支持时有效，而且版本号一直不变，所以要去看针对这两个 CVE 编号的安全公告。
3. 付费购买扩展支持
有些厂商在 PHP 项目停止维护之后继续打补丁。
- TuxCare ELS 覆盖 PHP 5.2 到 8.1，部分主机商把它作为附加项出售，也有 Plesk 扩展形式。
- HeroDevs NES 覆盖 PHP 7.2 到 8.2，并公布了严重 CVE 在 14 天内处理的目标。
- Zend 出售长期支持服务，其中包括 8.1。
谁确认了这两个 CVE
截至 2026 年 10 月 22 日，HeroDevs 在 10 月 21 日的一篇文章和它自己的漏洞目录里，把这两个 CVE 都列到了 PHP 7.4、8.0 和 8.1 的构建下。Zend 只有第二手的说法，称它的 LTS 构建已修复，我们在 Zend 自己的网站上没有找到相关声明。我们检查时，TuxCare 的 CVE 跟踪页面上没有这两个 CVE 的条目。购买之前先问清楚，并让对方书面答复。
目前我们和这几家都没有付费合作关系。如果以后有变化，相关链接会标注“付费链接”，并列在 利益披露 页面上。
4. 把动不了的系统隔离起来
比如一个这个月没法升级的内部工具。把它从公网撤下来，放到 VPN 后面或者在代理层加一道登录，再设置 临时缓解项。这样能缩小暴露面，但算不上修复。
我们会怎么做
服务器在你自己手里的话，直接升到 8.3，把省下来的时间花在别的事情上。代码确实动不了，就选一个能书面确认覆盖这两个 CVE 的厂商。想找人一起拿主意，可以 联系我们。
最后审阅：2026年10月22日