所有分支
| 分支 | 修复版本 | 状态 | 支持结束 |
|---|---|---|---|
| PHP 8.5 | 8.5.12 | 已发布修复版本 | 2029年12月31日 |
| PHP 8.4 | 8.4.27 | 已发布修复版本 | 2028年12月31日 |
| PHP 8.3 | 8.3.36 | 已发布修复版本 | 2027年12月31日 |
| PHP 8.2 | 8.2.35 | 已发布修复版本 | 2026年12月31日 |
| PHP 8.1 | – | 仅有源码补丁 | 2025年12月31日 |
| PHP 8.0 | – | 仅有源码补丁 | 2023年11月26日 |
| PHP 7.4 | – | 仅有源码补丁 | 2022年11月28日 |
| PHP 7.3 及更早 | – | 无官方修复 | 早已结束 |
8.1、8.0 和 7.4 这三个分支，PHP 项目只在 php-src 仓库里发布了最小的源码分支（PHP-8.1-CVE-2026-109618-109619，8.0 和 7.4 的命名方式相同）。这些分支没有打标签的版本，也没有二进制包。发行版和长期支持厂商提前拿到了补丁，详见旧版 PHP。
修复怎么到服务器上
Linux 发行版和软件包仓库会自己重新构建 PHP，各有各的时间表。下表是每个来源自己公布的状态。
| 来源 | 状态 |
|---|---|
| Ubuntu | 已有修复包 |
| Debian | 4 个版本中 2 个已修复 |
| Red Hat Enterprise Linux | 6 个版本中 1 个已修复 |
| AlmaLinux | 暂无修复 |
| Rocky Linux | 暂无修复 |
| Fedora | 4 个版本中 2 个已修复 |
| SUSE / openSUSE | 暂无修复 |
| Alpine Linux | 暂无修复 |
| Amazon Linux | 暂无修复 |
| Docker official php image | 6 个版本中 4 个已修复 |
| Ondrej Sury PPA / deb.sury.org | 3 个版本中 2 个已修复 |
| Remi's RPM repository | 8 个版本中 6 个已修复 |
| windows.php.net | 3 个版本中 2 个已修复 |
| Homebrew | 5 个版本中 4 个已修复 |
主机商
我们查看了 26 家主机商的公开页面，其中 21 家已经表态，5 家还没有。全部主机商及来源。
- 需要你自己操作1
- GoDaddy
- 正在推送12
- IONOS、Pantheon、Cloudways、SiteGround、OVHcloud、Bluehost、HostGator、Namecheap、DreamHost、InMotion Hosting、Liquid Web、A2 Hosting (hosting.com)
- 正在核查1
- Nexcess (Liquid Web)
两个漏洞
CVE-2026-109618 · CVSS v4.0 9.2
内存耗尽后发生内存损坏，可导致远程代码执行。
CVE-2026-109619 · CVSS v4.0 9.2
全局状态残留，可导致远程代码执行。
风险高低取决于 PHP 的运行方式
| 运行方式 | 公告怎么说 |
|---|---|
| Apache mod_php | 风险最高。未经认证的请求在任何应用代码运行之前就能触发漏洞，公告还提到已有可用的演示。 |
| PHP-FPM | 根据源码分析可以被利用。PHP 项目没有公开完整的利用代码。 |
| LiteSpeed / LSAPI | 列为受影响，评估与 FPM 相同。 |
| php-cgi | 列为受影响。 |
| FrankenPHP | 列为受影响。 |
| CLI | 命令行本身不面向 Web。不过 CLI 二进制如果是受影响的版本，Web 端的 SAPI 通常也是。 |
PHP 的公告没有提到在野利用，我们检查时 CISA 和 BSI 也都没有确认。Cloudflare、watchTowr、Patchstack 等安全厂商报告了攻击尝试。没打补丁的服务器都应当视为已暴露。
尚未确定的问题
- 8.5.12、8.4.27、8.3.36 和 8.2.35 的回归问题。截至 10月21日 17:30 UTC，php-src issues 中没有相关报告，但这些版本发布还不到一天。
- 利用情况。Cloudflare、watchTowr 和 Patchstack 报告了攻击尝试，CISA、BSI 和 CERT-EU 尚未确认在野利用。官方没有发布任何入侵指标。
- CISA Known Exploited Vulnerabilities 目录在 10月21日 17:36 UTC 时还没有收录这两个 CVE。每次更新前我们都会复查。
- 延长支持方面，HeroDevs 为 PHP 7.4、8.0 和 8.1 点名了这两个 CVE。Zend 为其 LTS 构建提供修复的消息只有二手报道，TuxCare 那边我们什么都没找到。
- Red Hat 的 RHEL 7 数据把一个 CVE 列为受影响，另一个列为不受影响；RHEL 6 不在支持范围内。我们在等一个明确的说法。
- Alpine 安全数据库列出了已修复的 php84 和 php85 软件包，但 17:30 UTC 时 x86_64 软件包索引提供的仍是 8.4.26。
- GitHub Advisory Database 还没有为这两个 CVE 发布经过审核的条目，所以 Dependabot 等工具可能暂时不会提示。