版本与修复
我受影响吗？
如果 Web 服务器后面跑着 PHP，而版本低于 8.2.35、8.3.36、8.4.27 或 8.5.12，那多半受影响。两个漏洞都在 PHP 本身，用的是哪种 CMS 或框架都一样。把版本号填进 版本检查，如果不确定 PHP 是谁在帮你运行，就看 先判断。
哪些版本已经修复？
PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。PHP 8.1 及更早版本没有新发布。PHP 项目只为 7.4、8.0 和 8.1 发布了源码回移分支。完整表格见 状态。
主机、WordPress 和 WAF
我用的是虚拟主机，需要做什么吗？
PHP 的补丁由服务商来打。问他们你的站点用的是哪个 PHP 构建、worker 是什么时候重启的。如果站点兼容，就在面板里换成更新的版本。具体步骤和要问的三个问题见 虚拟主机指南。
WordPress 本身有漏洞吗？
没有。两个漏洞都在 PHP 里。WordPress.org 表示不需要、也不打算发布 WordPress 更新，你应该升级 PHP。见 如何查看 PHP 版本。
WAF 或 Cloudflare 能解决问题吗？
不能。PHP 项目表示没有完整的缓解办法，升级是唯一安全的做法。Cloudflare 报告说，攻击者已经修改载荷来绕过 WAF 规则。WAF 可以多加一层防护，升级仍然要做。见 WAF 指南。
发行版显示的版本号比较旧，我修好了吗？
不一定。Ubuntu、Debian、Red Hat 等发行版给自己的软件包打补丁，同时保留旧版本号。按你所用系统的指南，在软件包的更新日志里查找这两个 CVE 编号，见 Ubuntu、Debian、RHEL。
需要重启什么吗？
需要。更新软件包不会改变已经在运行的 PHP 进程。重启 PHP-FPM、Apache 或 LiteSpeed，再检查 Web 这一侧报告的版本。步骤见 打补丁之后。
攻击与入侵
漏洞正在被利用吗？
安全厂商说是。Cloudflare、watchTowr 和 Patchstack 都报告了攻击尝试。CISA 发布警报时表示尚未观察到利用，BSI 和 CERT-EU 也没有确认。PHP 项目的公告同样没有提到利用情况。最新说明见 状态。
它在 CISA 的 KEV 目录里吗？
我们上次检查时不在。2026 年 10 月 21 日，两个 CVE 都没有列入已知被利用漏洞（KEV）目录。这可能会变，我们每次更新前都会重新检查。最新结果见 状态。
旧版 PHP 和 Docker
PHP 7.4 和 PHP 8.1 怎么办？
两者都已停止支持，PHP 项目只为它们各提供一个源码分支，需要你自己编译。先看你的发行版或面板是否已经给自己的构建打了补丁，或者换到受支持的版本。见 PHP 7.4 和 PHP 8.1。
PHP 5 呢？
PHP 项目没有提到 PHP 5。二手资料说它受影响，而且上游没有修复。按受影响处理，并规划迁移。见 PHP 5。
我应该换到 PHP 8.2 吗？
只能短期用。8.2.35 修复了两个漏洞，但 8.2 分支在 2026 年 12 月 31 日停止支持。我们建议用 8.4，如果有东西还没准备好，就用 8.3。见 PHP 8.2。
Docker 镜像标签有影响吗？
有。使用指向 8.5.12、8.4.27、8.3.36 或 8.2.35 的标签，比如 php:8.4.27-fpm，然后重新构建并重新部署容器。RC 标签不是修复后的正式版，8.1 及更早版本的标签也没有补丁。重启旧容器，跑的还是旧 PHP。见 Docker 指南。
PHP 命令行受影响吗？
官方列出的受影响运行方式是 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed。命令行（CLI）不在其中。软件包还是要升级，因为 CLI 和 Web 这一侧通常来自同一次安装，用 php -v 就能看到你装的是什么。
怎么知道我有没有被入侵？
你可能看不出来。安全公告没有公布入侵指标，日志干净也不能证明什么，因为攻击可能发生在 PHP 记录任何内容之前。CISA 建议留意启动 shell 或下载工具的 PHP worker。先看 打补丁之后，WordPress 站点再看 站点被黑之后。
缓解措施与升级
我关掉 session.upload_progress 就行了吗？
这只对两个漏洞中的一个有用。PHP 项目把 session.upload_progress.enabled=0 列为 CVE-2026-109619 的缓解措施，CVE-2026-109618 则没有类似的办法。它能缩小暴露面，升级仍然要做。官方的临时设置见 暂时还不能升级时。
升级会把站点搞坏吗？
有可能，跨好几个版本升级时尤其如此。先在副本上测试。这些指南列出了常见的问题，见 7.4 升到 8.4、8.1 升到 8.4、8.2 升到 8.4，或者看 全部升级指南。
关于本站
你们是谁，靠什么赚钱？
我们是一个独立网站，与 PHP 项目和 WordPress 都没有关联。修复信息免费提供。我们的收入来自可选的付费帮助，将来如有付费链接，都会标注出来。详情见 关于 和 推荐。
最后审阅：2026年10月22日