PHP2Shell漏洞的官方修复版本为PHP 8.5.12、8.4.27、8.3.36和8.2.35，分别对应仍在支持周期内的四个主版本分支；PHP 8.1及更早版本（如8.0、7.4等）已终止支持，无官方补丁。

PHP2Shell漏洞的官方修复版本有四个，对应当前仍在安全支持周期内的各主版本分支：

明确可用的修复版本

以下版本已集成对 CVE-2026-109618 和 CVE-2026-109619 的完整修复，可直接用于生产环境升级：

• PHP 8.5.12 —— 适用于使用 PHP 8.5.x 系列的站点
• PHP 8.4.27 —— 适用于 PHP 8.4.x 系统（目前存量较大，但修复率仅约45%）
• PHP 8.3.36 —— 适用于 PHP 8.3.x 环境
• PHP 8.2.35 —— 适用于仍运行 PHP 8.2 的系统（注意：8.2 分支将于 2026 年 12 月 31 日终止支持，该版本仅为临时缓解）

哪些版本不被官方修复

PHP 8.1 及更早版本（如 8.0、7.4、7.3 等）已退出官方支持周期，PHP 官方未发布正式补丁包。虽然提供了最小源码回移补丁供自行编译，但存在兼容性与维护风险，不建议长期使用。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

升级时必须注意的关键点

• 只更新 php -v 显示的 CLI 版本不够，必须确保 Web 服务实际加载的是新版本，例如：
  — PHP-FPM 进程需重启并验证 php-fpm -v 或通过 ps aux | grep php-fpm 查进程路径
  — Apache mod_php 需重载模块并确认 httpd -M | grep php
  — LiteSpeed、OpenLiteSpeed 等需检查 LSAPI 实际调用的二进制路径
• 升级后务必测试核心功能，尤其涉及文件上传、表单提交、会话处理等请求生命周期操作，这两个漏洞均发生在请求处理阶段的内存状态管理中
• 若使用 CMS（如 MetInfo、WordPress、Drupal），需确认其版本是否兼容新 PHP 版本；例如 MetInfo V8.1 已完成对上述四个修复版本的适配

如何快速验证是否生效

执行以下任一命令，确认输出版本号严格等于或高于对应分支的修复版本：

• php -v（CLI 环境）
• php-fpm -v（FPM 模式）
• 在 Web 页面中创建 info.php，调用 phpinfo()，查找 “PHP Version” 行

版本号小数点后数字必须完全匹配或更高，例如 8.4.26 仍不安全，8.4.27 才有效。

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！