PHP 8.0–8.1 已终止支持，无安全更新；8.2–8.5 受支持且有对应漏洞修复。例如CVE-2026-6722仅在8.2.31+等版本修复，8.1及更低无补丁；CVE-2026-109618/19同理。升级非选优，而是保命。

PHP 8.0 到 8.5 各版本本身不是“有不同漏洞”，而是**漏洞影响范围按版本分支划分，修复也按分支独立发布**。关键区别在于：哪些版本受某个 CVE 影响、是否还在官方支持期内、有没有补丁可用。

安全支持状态决定能否修复

只有仍在官方支持周期内的版本才能获得安全更新。截至 2026 年 11 月：

• PHP 8.5、8.4、8.3、8.2：全部受支持，所有已知高危漏洞（如 CVE-2026-6722、CVE-2026-109618/19）都有对应修复版本
• PHP 8.1：已终止支持（2026 年初结束），不再接收任何安全补丁，即使发现新漏洞也不会修复
• PHP 8.0 及更早：完全不受支持，漏洞存在即永久存在，无缓解方案

典型漏洞在各版本中的覆盖情况

以两个近期高危漏洞为例：

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

• CVE-2026-6722（SOAP UAF → RCE，CVSS 9.5）：影响所有启用 SOAP 扩展的 PHP 8.2–8.5，但仅在 8.2.31 / 8.3.31 / 8.4.21 / 8.5.6 及以上 中修复；8.1 及更低版本无补丁
• CVE-2026-109618/19（RCE 级内存与状态残留漏洞，CVSS 9.2）：影响全部对外提供 Web 请求的 PHP 安装，但仅在 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 中修复；8.1 及更低版本不包含该修复

低版本没有“专属漏洞”，只有“无法修复的漏洞”

PHP 8.0 和 8.1 并不比 8.5 “更容易出漏洞”，而是它们已停止维护，所有已知和未知漏洞都得不到修复。比如：

• PHP 8.1.34 是它最后一个安全版本，之后所有新发现漏洞（包括上面两个 9.x 分 RCE）都不会再打补丁
• 攻击者会优先扫描运行 8.1 或更低版本的服务器，因为知道它们必然存在未修复的高危问题
• 即便代码本身没用到 SOAP 或 FPM status 页面，底层引擎缺陷仍可能被链式利用

升级不是选“哪个更好”，而是“哪个还能保命”

PHP 8.2 是当前最稳妥的起点——它仍在安全支持期，性能稳定，兼容性好，且能获得所有最新漏洞修复。8.3/8.4/8.5 更新，但需确认框架和扩展是否适配；8.0/8.1 已不具备生产环境安全底线。

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！