php2shell EOL分支补丁回移教程：5.6/7.x/8.0/8.1的minimal与enhanced取舍-php教程-PHP中文网

php 5.6至8.1均属eol版本，官方不提供cve-2026-109618/109619补丁；仅8.2–8.5受支持分支发布正式修复，eol版本需升级或启用配置缓解与前置防护。

php2shell eol分支补丁回移教程：5.6/7.x/8.0/8.1的minimal与enhanced取舍 - php中文网

PHP 5.6、7.x、8.0 和 8.1 均不在官方安全支持周期内，CVE-2026-109618 和 CVE-2026-109619 的补丁**不会被官方回移**。所谓“EOL分支补丁回移”，实际是第三方或发行版厂商提供的非官方缓解方案，不是完整修复，也无统一标准。

PHP 官方明确终止了对这些版本的安全维护：

截至 2026年10月，仅 8.2、8.3、8.4、8.5 四个分支获得官方补丁（8.2.35 等）。所有 EOL 版本的代码仓库已归档，CI 流水线关闭，无法通过常规 PR 合并补丁。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

所谓 minimal，指仅修补漏洞触发最短路径（如禁用会话上传进度处理），代价小但防护面窄；enhanced 指尝试复现 8.2+ 补丁逻辑，涉及内存管理、longjmp 清理、worker 状态重置等深层改动，风险高、兼容性差、测试成本巨大。

minimal 常见做法：在 php.ini 中禁用高危功能，例如 session.upload_progress.enabled = Off、max_input_vars = 1000、memory_limit = 64M（配合严格 post_max_size）
enhanced 实际案例极少——Debian 11 的 php7.4 backport 曾尝试 patch CVE-2026-109619 的状态残留部分，但只覆盖了 error_log 相关路径，未触碰 worker 共享内存区，且需重启全部 php-fpm 进程才生效
Red Hat/CentOS Stream 8 的 php-7.4 RPM 包曾发布过 php74-php-2026-109618-minimal 补丁，仅修改了 sapi/apache2handler/sapi_apache2.c 中的 OOM early-return 判断，未改动 Zend 内存分配器

别指望“回移补丁能彻底解决问题”。真实可行路径只有三条，按优先级排列：

立即升级到受支持版本：哪怕只升到 8.2.35，也比任何 backport 更可靠。PHP 8.2 要求最低 OpenSSL 1.1.1、ICU 65.1，旧系统需同步检查依赖
若无法升级，启用最小化缓解配置，并强制重启所有 worker：systemctl restart php-fpm 或 apachectl graceful（mod_php 场景下必须 reload Apache）
加一层前置防护：在 Web 服务器层（Nginx/Apache）限制 multipart 请求头数量、单请求字段数、上传字段名嵌套深度；用 client_max_body_size、large_client_header_buffers 做硬拦截

最后提醒一句：所有 EOL 版本的 backport 都不包含 JIT、类型推导、ZTS 改进等底层加固，即使打了 minimal 补丁，仍可能因其他未公开内存缺陷被绕过。真正安全的边界，只在官方支持线之内。