PHP 8.3.15 仍存在漏洞，必须升级至 8.3.36；该版本是官方确认修复 CVE-2026-109618 和 CVE-2026-109619 两个 9.2 分 RCE 漏洞的最低安全版本。
PHP 8.3.15 本身不是存在命令执行漏洞的版本，而是已修复相关高危漏洞的安全版本。你提到的“命令执行漏洞”，实际指向的是 2026 年 10 月 21 日 PHP 官方紧急发布的安全更新中修复的两个超危远程代码执行（RCE）漏洞（被称作「php2shell」），影响范围明确为：
- 8.5 系列 < 8.5.12
- 8.4 系统 < 8.4.27
- 8.3 系列 < 8.3.36
- 8.2 系列 < 8.2.35
- 8.1 及更早版本（全部不受保护）
也就是说：PHP 8.3.15 属于“仍存在漏洞”的旧版——它低于 8.3.36，必须升级。
✅ 应升级到哪个版本？
官方已发布修复版本，对应 8.3 系列的最低安全版本是 8.3.36。
这是唯一被 PHP 基金会确认修复了「php2shell」漏洞的 8.3.x 版本。
⚠️ 注意：8.3.36 是 8.3 分支的最终安全更新（EOL 已临近）。PHP 8.3 的官方支持周期将于 2027 年 11 月结束，但安全补丁仅持续到该日期前的最后一个稳定小版本。当前（2026年10月）推荐直接升级至
8.3.36，并规划后续向 8.4 或 8.5 迁移。
? 升级时关键注意事项
明确环境兼容性边界
- 不要只看“PHP 版本号”，还要核对：
- ZTS/NTS（线程安全）模式是否一致（尤其 Windows + IIS/Apache 或使用 Swoole/Loader 场景）
- VC 编译器版本（如 VC17、VC19）是否匹配（Windows 下 DLL 加载失败常因此导致）
- 架构位数（x64 vs x86）必须与现有扩展（如 sqlsrv、openssl、gd）完全一致
- 若使用 Swoole Loader、PDO_SQLSRV 等二进制扩展，需同步更换对应
8.3.36 + ZTS/NTS + VCxx + x64的.so或.dll
检查框架与依赖兼容性
- Laravel 10+、Symfony 6.4+、CodeIgniter 4.5+ 已明确支持 PHP 8.3，但需确认：
-
composer.json中"php": "^8.3"是否允许8.3.36 - 运行
composer check-platform-reqs和composer why-not php:8.3.36排查阻塞依赖
-
- 第三方包若硬编码调用已被弃用函数（如
create_function()、mysql_connect()）、或依赖assert()行为变更，可能在 8.3.36 中触发致命错误或逻辑异常
重点关注语言层行为变更（8.3.15 → 8.3.36 虽无大版本跳跃，但含多个补丁级修正）
-
proc_open()、popen()、system()、exec()等函数在处理含空字节（\0）或特殊 shell 元字符（; | & $ ( ) < >）的参数时，内部校验逻辑收紧，部分绕过尝试将失效 -
escapeshellarg()和escapeshellcmd()在极端输入下返回值更严格，旧有“手动拼接 + 自定义过滤”逻辑可能被截断或报错 -
ini_set('disable_functions')若禁用了pcntl_exec等函数，升级后不会恢复；但若此前未禁用，8.3.36 默认仍启用——切勿依赖 disable_functions 拦截 RCE，它不是可靠防线
验证与回滚准备
- 升级前务必在预发环境完整走查：
- 所有用户可控入口（表单提交、URL 参数、文件上传回调、Webhook payload）
- 是否调用
shell_exec、反引号、passthru等危险函数 - 是否存在
eval()、assert()动态执行、或unserialize()处理不可信数据
- 保留原 PHP 8.3.15 运行时快照（如 Docker 镜像 tag、VM 快照），确保 10 分钟内可回退
?️ 升级不是终点：纵深防御建议
- 即使升到 8.3.36，也应同步落实：
- Web 服务器层限制：Nginx/Apache 禁用
.php在上传目录执行 - 应用层最小权限：PHP 进程以非 root 用户运行，
open_basedir限定可访问路径 - 运行时防护：启用 RASP（如 Snyk RASP、Imperva）实时拦截可疑命令调用链
- 监控告警：对
proc_open、shell_exec等函数调用添加日志埋点，设置异常频率阈值告警
- Web 服务器层限制：Nginx/Apache 禁用
不复杂但容易忽略。
立即学习“PHP免费学习笔记（深入）”；
