PHP 8.4 当前最紧迫风险是 CVE-2026-109618 和 CVE-2026-109619 远程代码执行漏洞，影响所有低于 8.4.27 的版本，需立即升级至 8.4.27 或更高版本修复。
PHP 8.4 当前最紧迫的安全风险，是 CVE-2026-109618 和 CVE-2026-109619 这两个远程代码执行漏洞（php2shell），它们影响 PHP 5.4 起几乎所有版本，包括全部 8.4.x 分支（如 8.4.26 发布前的旧版）。这类漏洞不依赖代码逻辑缺陷，而是源于请求解析与内存管理底层机制，静态分析工具无法直接检测其运行时触发条件。
Exakat 是一款优秀的 PHP 静态分析引擎，擅长发现编码规范问题、框架兼容性风险、已弃用函数调用、类型隐患等。它能识别“是否用了危险函数”“是否绕过过滤逻辑”，但对 php2shell 这类与 PHP 解析器自身 C 层实现强相关的内存状态竞争漏洞——Exakat 无法识别，也不在它的检测范围内。
真正有效的应对方式，是快速确认当前 PHP 版本是否已被官方修复，并验证补丁是否生效。
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
所以不是“Exakat 和谁比更好用”，而是：Exakat 不适用于这个场景。
立即学习“PHP免费学习笔记（深入）”；
PHP 8.4 漏洞修复验证工具怎么选
Versionscan
最轻量、最直接。它只做一件事：查你正在运行的 PHP 版本号，比对 NVD/CVE 官方数据库，明确告诉你“当前版本是否包含已知高危漏洞”。
支持离线检测（--php-version 8.4.25），输出带 CVE 编号和严重等级，还能导出 HTML 报告。
对运维或安全响应人员来说，30 秒就能确认风险状态。PHP Security Checker（由 SensioLabs 维护）
已归档但仍有参考价值。它聚焦于composer.lock中的扩展依赖，适合 Laravel 等 Composer 项目。但它不检查 PHP 解释器本身，所以对 php2shell 无效。RIPS
提供二进制指纹识别能力，可探测 PHP 编译参数（如是否启用了--disable-opcache）、模块加载状态，间接辅助判断环境是否易受攻击。但它需要部署服务端，配置成本高于 Versionscan。-
手动验证更可靠
直接运行php -v，核对是否 ≥ 下列任一修复版本：- PHP 8.4.27（2026年10月21日发布）
- PHP 8.3.36
- PHP 8.2.35
- PHP 8.5.12
只要版本号达标，且未被定制编译移除关键补丁，即可认为已修复。
实际建议怎么做
- 立即升级到 PHP 8.4.27 或更高稳定版，不要停留在 8.4.26 或更早
- 升级后运行
versionscan --php-version $(php -r "echo PHP_VERSION;")快速复核 - 若使用 Docker，更新基础镜像（如
php:8.4-apache官方镜像已同步更新） - Apache + mod_php 用户需重启 httpd；Nginx + PHP-FPM 用户需 reload php-fpm 进程
Exakat 可以留作日常代码审计工具，但面对 php2shell 这类底层解析漏洞，它不参与“修复验证”这个环节。
