与 php 8.5.12 同一天，php.net 同步发布了 8.4.27、8.3.36 与 8.2.35 三个安全版本，覆盖除 8.5 之外的全部在维护稳定分支。其中 8.2.35 是 8.2 分支进入生命周期末段的安全版本之一——8.2 将在 2026 年 12 月 31 日 eol。
▲ 事件来源页面实时截图：php.net
本次发布修了什么
三个版本与 8.5.12 修复同一批问题，即 CVE-2026-109618 与 CVE-2026-109619 两个严重 RCE。PHP 基金会称两处问题位于内存管理与错误处理等几乎每个请求都会经过的核心路径。
升级建议
按现网所在分支选择对应补丁版本，勿跨分支混用。仍在 9 月版本的部署建议直接跳升到 10 月批次，一次覆盖两批修复。
为什么不只发 8.5.12
PHP 的安全修复按分支 backport：同一漏洞会在每个仍在维护的分支各打一个补丁版本。8.4 / 8.3 / 8.2 的任务不是引入新特性，而是把 8.5 分支上的修复原样搬过来，因此三者的修复内容与 8.5.12 一一对应，差异仅在基线代码。
选择哪个分支升级
追求稳定性且已在 8.4 的项目直接升 8.4.27；仍在 8.3 的升 8.3.36 即可，不必跨越特性变更；8.2 只到 8.2.35 且 12-31 之后不再有补丁，长期项目应把「升到 8.3/8.4」与「本次安全升级」合并规划，避免年底前再做一次迁移。
怎么确认补丁真的生效
用 php -r 'echo PHP_VERSION;' 核对版本号，再对照 php.net 发布页确认补丁日期；容器环境注意镜像 tag 与实际二进制是否一致，Kubernetes 部署要确认滚动更新后所有 Pod 都已是新版本，避免新旧版本混跑。
▲ 官方索引页截图
▲ php.net 官方版本页面截图
关键信息
| 项目 | 内容 |
|---|---|
| 类目 | 版本更新 |
| 级别 | 高 |
| 日期 | 2026-10-21 |
| 关联编号 | 8.4.27 / 8.3.36 / 8.2.35 |
| 影响范围 | 8.4 / 8.3 / 8.2 分支 |
| 核验状态 | 已官方确认 |
来源：https://www.php.net/archive/2026.php
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
