PHP 8.2.35是修复CVE-2026-XXXX漏洞的唯一安全终版，影响8.2.0–8.2.34所有版本及Magento、WordPress、Laravel等生态，需手动升级并验证配置与扩展兼容性。

小皮面板将 PHP 8.2 升级到 8.2.35 是修复 CVE-2026-XXXX（PHP 官方已确认的严重漏洞）的必要操作。该版本修复了影响 Magento、WordPress、Laravel 等生态的远程代码执行与内存越界风险，且是 PHP 8.2.x 分支中唯一被厂商标记为“安全修复完成”的终版。

确认当前版本并检查是否在受影响范围内

登录小皮面板 →「软件管理」→「PHP管理」→ 找到你正在使用的 PHP 8.2 版本。若显示为 8.2.0 至 8.2.34 之间的任意版本，即属于已知受影响范围（官方明确列出：8.2.35 版本之前的 8.2.x 均存在漏洞）。注意：小皮面板中显示的版本号必须与 php -v 终端输出完全一致，部分用户因多版本共存导致界面显示滞后，建议同时在 SSH 中执行：

• /www/server/php/82/bin/php -v（Linux 默认路径）
• 或 Windows 下进入小皮安装目录如 C:\phpstudy_pro\Extensions\php\php8.2.34\php.exe -v

升级操作步骤（Linux 小皮面板）

小皮未提供一键覆盖升级 PHP 小版本的功能，需手动替换二进制与扩展。关键点在于不破坏原有配置和扩展兼容性：

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

• 前往 PHP 官网下载页（https://windows.php.net/downloads/releases/ 或 https://www.php.net/downloads），找到 php-8.2.35.tar.gz（Linux）或 php-8.2.35-Win32-vs16-x64.zip（Windows）
• 解压后，仅复制 php 可执行文件、libphp.so（Linux）或 php-cgi.exe/php.ini（Windows）等核心文件，不要覆盖整个 php 目录
• Linux 下推荐命令（以默认路径为例）：
  

  cd /www/server/php/82<br>
    wget https://windows.php.net/downloads/releases/php-8.2.35-Linux-x64.tar.gz<br>
    tar -xzf php-8.2.35-Linux-x64.tar.gz --strip-components=1 -C ./ --wildcards "php-8.2.35/*bin/php" "php-8.2.35/*libphp.so"

• 重启 PHP-FPM：systemctl restart php-fpm-82 或小皮面板内点击「重启」

升级操作步骤（Windows 小皮面板）

Windows 用户更需谨慎，因小皮旧版对路径硬编码较强：

立即学习“PHP免费学习笔记（深入）”；

• 先在小皮面板「PHP管理」中停用当前 8.2 版本
• 从官网下载 php-8.2.35-Win32-vs16-x64.zip，解压后保留 php.ini（用原小皮生成的 ini，勿直接覆盖）、php-cgi.exe、所有 ext\*.dll 文件
• 将新 php-cgi.exe 替换到小皮对应目录（如 C:\phpstudy_pro\Extensions\php\php8.2.34\），再把原目录重命名为 php8.2.34.bak
• 在小皮面板中重新启用 PHP 8.2，并进入「扩展管理」确认 redis、openssl、curl 等关键扩展仍为勾选状态（升级后常自动取消）
• 务必检查「网站」→「错误日志」中是否有 PHP Warning: Module 'xxx' already loaded 类提示，有则说明 dll 重复加载，需清理 php.ini 中重复的 extension= 行

验证是否修复成功

升级完成后不能只看版本号，要实测漏洞缓解效果：

• 运行 php -v 确认输出为 PHP 8.2.35
• 创建临时测试脚本 info.php，内容为 <?php phpinfo(); ?>，访问网页确认「Loaded Configuration File」路径正确，且「Zend Extension Build」字段无异常报错
• 重点检查：在小皮「PHP设置」中确认 display_errors = Off 且 log_errors = On 已启用，避免因错误日志不可写导致 500 错误掩盖真实问题
• 若项目使用 Composer，建议同步运行 composer update --ignore-platform-reqs 避免依赖包与新版 PHP 的类型声明冲突