PHP 5.6至8.1均属EOL版本，官方不提供CVE-2026-109618/109619补丁；仅8.2–8.5受支持分支发布正式修复，EOL版本需升级或启用配置缓解与前置防护。
PHP 5.6、7.x、8.0 和 8.1 均不在官方安全支持周期内，CVE-2026-109618 和 CVE-2026-109619 的补丁**不会被官方回移**。所谓“EOL分支补丁回移”，实际是第三方或发行版厂商提供的非官方缓解方案，不是完整修复，也无统一标准。
为什么官方不给 PHP 5.6/7.x/8.0/8.1 打补丁
PHP 官方明确终止了对这些版本的安全维护：
- PHP 5.6：2019年1月起 EOL
- PHP 7.0–7.3：2020–2022年间陆续 EOL
- PHP 7.4：2022年11月 EOL
- PHP 8.0：2023年11月 EOL
- PHP 8.1：2024年11月 EOL
截至 2026年10月，仅 8.2、8.3、8.4、8.5 四个分支获得官方补丁（8.2.35 等）。所有 EOL 版本的代码仓库已归档，CI 流水线关闭，无法通过常规 PR 合并补丁。
minimal 回移 vs enhanced 回移：本质是“打哪”和“打多深”
所谓 minimal，指仅修补漏洞触发最短路径（如禁用会话上传进度处理），代价小但防护面窄；enhanced 指尝试复现 8.2+ 补丁逻辑，涉及内存管理、longjmp 清理、worker 状态重置等深层改动，风险高、兼容性差、测试成本巨大。
立即学习“PHP免费学习笔记（深入）”；
-
minimal常见做法：在php.ini中禁用高危功能，例如session.upload_progress.enabled = Off、max_input_vars = 1000、memory_limit = 64M（配合严格post_max_size） -
enhanced实际案例极少——Debian 11 的php7.4backport 曾尝试 patch CVE-2026-109619 的状态残留部分，但只覆盖了error_log相关路径，未触碰 worker 共享内存区，且需重启全部 php-fpm 进程才生效 - Red Hat/CentOS Stream 8 的
php-7.4RPM 包曾发布过php74-php-2026-109618-minimal补丁，仅修改了sapi/apache2handler/sapi_apache2.c中的 OOM early-return 判断，未改动 Zend 内存分配器
你手上跑着 PHP 5.6/7.4/8.0/8.1？现在该做什么
别指望“回移补丁能彻底解决问题”。真实可行路径只有三条，按优先级排列：
- 立即升级到受支持版本：哪怕只升到
8.2.35，也比任何 backport 更可靠。PHP 8.2 要求最低 OpenSSL 1.1.1、ICU 65.1，旧系统需同步检查依赖 - 若无法升级，启用最小化缓解配置，并强制重启所有 worker：
systemctl restart php-fpm或apachectl graceful（mod_php 场景下必须 reload Apache） - 加一层前置防护：在 Web 服务器层（Nginx/Apache）限制 multipart 请求头数量、单请求字段数、上传字段名嵌套深度；用
client_max_body_size、large_client_header_buffers做硬拦截
最后提醒一句：所有 EOL 版本的 backport 都不包含 JIT、类型推导、ZTS 改进等底层加固，即使打了 minimal 补丁，仍可能因其他未公开内存缺陷被绕过。真正安全的边界，只在官方支持线之内。
