PHP2Shell漏洞的官方修复版本为PHP 8.5.12、8.4.27、8.3.36和8.2.35，分别对应仍在支持周期内的四个主版本分支；PHP 8.1及更早版本（如8.0、7.4等）已终止支持，无官方补丁。
PHP2Shell漏洞的官方修复版本有四个，对应当前仍在安全支持周期内的各主版本分支：
明确可用的修复版本
以下版本已集成对 CVE-2026-109618 和 CVE-2026-109619 的完整修复，可直接用于生产环境升级：
- PHP 8.5.12 —— 适用于使用 PHP 8.5.x 系列的站点
- PHP 8.4.27 —— 适用于 PHP 8.4.x 系统（目前存量较大，但修复率仅约45%）
- PHP 8.3.36 —— 适用于 PHP 8.3.x 环境
- PHP 8.2.35 —— 适用于仍运行 PHP 8.2 的系统（注意：8.2 分支将于 2026 年 12 月 31 日终止支持，该版本仅为临时缓解）
哪些版本不被官方修复
PHP 8.1 及更早版本（如 8.0、7.4、7.3 等）已退出官方支持周期，PHP 官方未发布正式补丁包。虽然提供了最小源码回移补丁供自行编译，但存在兼容性与维护风险，不建议长期使用。
升级时必须注意的关键点
- 只更新
php -v显示的 CLI 版本不够，必须确保 Web 服务实际加载的是新版本，例如：
— PHP-FPM 进程需重启并验证php-fpm -v或通过ps aux | grep php-fpm查进程路径
— Apache mod_php 需重载模块并确认httpd -M | grep php
— LiteSpeed、OpenLiteSpeed 等需检查 LSAPI 实际调用的二进制路径 - 升级后务必测试核心功能，尤其涉及文件上传、表单提交、会话处理等请求生命周期操作，这两个漏洞均发生在请求处理阶段的内存状态管理中
- 若使用 CMS（如 MetInfo、WordPress、Drupal），需确认其版本是否兼容新 PHP 版本；例如 MetInfo V8.1 已完成对上述四个修复版本的适配
如何快速验证是否生效
执行以下任一命令，确认输出版本号严格等于或高于对应分支的修复版本：
立即学习“PHP免费学习笔记（深入）”；
-
php -v（CLI 环境） -
php-fpm -v（FPM 模式） - 在 Web 页面中创建
info.php，调用phpinfo()，查找 “PHP Version” 行
版本号小数点后数字必须完全匹配或更高，例如 8.4.26 仍不安全，8.4.27 才有效。
