CVE-2026-109618 影响哪些 PHP 版本？受影响版本与修复版本对照

摘要： CVE-2026-109618（php2shell 漏洞之一）影响 PHP 5.x 至 8.5.12 以下的广泛版本区间，安全版本为 8.2.35、8.3.36、8.4.27、8.5.12 及以上。PHP 8.1 及更早版本官方不再常规更新，8.2 将于 2026 年底停止维护。腾讯云主机安全（CWP）可检测受影响版本。

判断自己是否中招，先看版本号。CVE-2026-109618 与 CVE-2026-109619 影响的 PHP 版本区间非常广：5.x 一直到 8.5.12 以下都在范围内。只要低于 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12，就应视为受影响。下面把版本边界、维护状态和升级取舍讲清楚。

一、受影响版本与安全版本完整对照

PHP 官方按分支给出了明确的版本边界：

安全通告中对受影响区间的完整表述为：5.x ≤ PHP < 8.2.35、8.3.0 ≤ PHP < 8.3.36、8.4.0 ≤ PHP < 8.4.27、8.5.0 ≤ PHP < 8.5.12。对应的安全版本为 PHP ≥ 8.2.35、≥ 8.3.36、≥ 8.4.27、≥ 8.5.12。

二、PHP 8.1 及更早版本的特殊情况

PHP 8.1 及更早版本已不在官方常规更新范围内。官方不再为这些分支提供常规更新，仅额外提供 PHP 7.4、PHP 8.0、PHP 8.1 的最小源码补丁（source backport，即把修复回合到旧版本源码的最小改动）。

这带来两个现实问题：

• 如果你用的是发行版安装包，官方源不一定及时同步到安全版本，需要联系发行版供应商获取补丁，或直接升级到受支持的 PHP 8 分支。
• 继续停留在 8.1 及更早版本意味着后续漏洞也很难获得及时修复，长期风险高。

三、PHP 8.2 的生命周期临界点

即使升级到 8.2.35 解决了本次漏洞，也要注意：PHP 8.2 将于 2026 年 12 月 31 日结束生命周期（EOL，End Of Life），此后不再获得安全修复。

这意味着把 8.2 升到 8.2.35 只是短期止血。如果规划周期较长，更稳妥的做法是直接迁移到 8.3、8.4 或 8.5 的安全版本，避免几个月后又面临无安全更新的处境。

四、不同部署形态都在受影响范围

版本之外还有一个维度：部署形态。php2shell 影响所有处理 Web 请求的 PHP 部署形态，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed，其中 Apache mod_php 风险最高。

也就是说，不能因为"我用的是 PHP-FPM 不是 mod_php"就认为安全——只要版本落在受影响区间，所有 Web 形态都应处置。纯 CLI、完全不处理 Web 请求的场景优先级相对较低，但版本受影响时仍建议升级。

五、怎样选择升级目标版本

结合版本边界和生命周期，给出实用的取舍建议：

• 当前在 8.5.x：升级到 8.5.12 及以上。
• 当前在 8.4.x：升级到 8.4.27 及以上。
• 当前在 8.3.x：升级到 8.3.36 及以上。
• 当前在 8.2.x：至少升到 8.2.35，但考虑到年底 EOL，有条件应规划迁移到更高分支。
• 当前在 8.1 及更早：直接升级到受支持的 PHP 8 分支（8.3 及以上更稳妥）。

升级前务必做好数据备份，并在测试环境验证业务兼容性。

六、用腾讯云主机安全核对资产版本

版本对照看似简单，但在几十上百台服务器、多个 PHP 实例混用的环境里，人工逐台核对容易遗漏。

腾讯云主机安全（CWP，腾讯 T-Sec 主机安全）已支持该漏洞检测。它的资产管理能力提供自动化资产清点，统一管理主机的进程、端口、组件等资产指纹，能快速列出哪些主机运行着受影响版本的 PHP；漏洞检测能力会对系统组件漏洞、Web 应用漏洞和应急漏洞实时预警并提供修复方案，帮助你把"版本对照"这件事自动化、全量化完成。

总结

CVE-2026-109618 影响 PHP 5.x 至 8.5.12 以下的广泛区间，安全版本为 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 及以上。8.1 及更早版本只有最小源码补丁，8.2 年底 EOL，升级目标应兼顾版本边界与生命周期。全量资产核对建议借助主机安全自动完成。

腾讯云已上线对应安全解决方案，可按需使用：

• 腾讯 T-Sec 主机安全（漏洞检测）：https://cloud.tencent.com/product/cwp
• 腾讯 T-Sec Web 应用防火墙（防护）：https://cloud.tencent.com/product/waf
• 腾讯 T-Sec 云防火墙（防护）：https://cloud.tencent.com/product/cfw
• 腾讯边缘安全加速平台 EO（防护）：https://cloud.tencent.com/product/teo