PHP 8.2.35 已集成修复 CVE-2026-109618 和 CVE-2026-109619 的完整补丁，官方不提供独立安全补丁包；用户需整体升级至该版本，覆盖二进制、扩展及配置，Windows 换 ZIP 包、Ubuntu 换源升级、源码用户须重新编译安装。
直接升级到 PHP 8.2.35，不是“打补丁”
PHP 官方不提供独立的“安全补丁包”供用户手动打补丁。CVE-2026-109618 和 CVE-2026-109619 的修复已完整集成在 PHP 8.2.35 源码与二进制发布中。所谓“打补丁”，实际就是替换整个 PHP 可执行文件、扩展和配置文件——没有 patch 文件可 apply，也没有 hotfix DLL 可替换。
如果你当前用的是 PHP 8.2.34 或更早版本，php -v 显示的不是 8.2.35，那漏洞就 still present。
Windows 用户：换 ZIP 包 + 重配 php.ini
从 https://www.php.cn/link/a9a2c061a1c2743d489c6863eae6725a 下载对应版本的 ZIP 包：php-8.2.35-Win32-vs17-x64.zip（必须是 vs17、x64、NTS）。
- 先停止 Web 服务（如 Apache 或 Nginx）和
php-fpm进程 - 解压新包到干净路径（如
C:/php82），不要覆盖旧目录 - 复制旧
php.ini（或用新包里的php.ini-development重配），重点核对：-
extension_dir = "C:/php82/ext"—— 必须是绝对路径，正斜杠，带引号 date.timezone = Asia/Shanghai- 确保启用关键扩展：
extension=openssl、extension=curl、extension=mbstring、extension=pdo_mysql
-
- 把
C:/php82加入系统Path，重启终端后运行php -v确认输出含8.2.35
Ubuntu/Debian 用户：换源 + apt upgrade
你用的是 ppa:ondrej/php，那就只需更新——该 PPA 已同步上 PHP 8.2.35（截至 2026-10-21）。
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
- 确认源已启用：
grep -r ondrej /etc/apt/sources.list*应有ppa:ondrej/php - 执行：
sudo apt update && sudo apt install --only-upgrade php8.2-cli php8.2-fpm php8.2-mysql php8.2-curl php8.2-mbstring - 检查是否生效：
php -v和php-fpm -v都应显示8.2.35 - 重启服务：
sudo systemctl restart php8.2-fpm（Nginx）或sudo systemctl restart apache2（Apache）
注意：apt install php8.2 不会降级，但若之前装的是 php 元包（无版本号），需改用带版本号的包名，否则可能漏升 FPM 或 CLI。
源码编译用户：重新 configure + make install
别试图 patch .c 文件——官方修复涉及 main/SAPI.c、Zend/zend_execute_API.c 和内存管理多处，手工移植极易遗漏或引入新问题。
- 下载新源码：
wget https://www.php.net/distributions/php-8.2.35.tar.gz - 解压后进入目录，复用上次的
./configure命令（保持--prefix相同），例如：./configure --prefix=/usr/local/php8 --enable-fpm --with-mysqli --enable-mbstring --with-openssl - 执行：
make && sudo make install - 重启
php-fpm，确认/usr/local/php8/bin/php -v输出8.2.35
最容易被忽略的一点：FPM 的 pool 配置（如 www.conf）里 php_admin_value[error_log] 指向的路径权限没变，但 PHP 二进制升级后，若日志目录属主不是 www-data，FPM 启动会静默失败——务必检查 systemctl status php8.2-fpm 的报错。
