数据基准日：2026-11-10 ｜ 全部条目来自 23 个官方与权威信息源持续巡检，官方一手源 38 条，仅 4 条社区二手信息标记「单源待核实」。
一、本周速览
- 收录情报：44 条（近 7 天新增 7 条），其中官方一手源 38 条
- 紧急 / 高级别：19 条
- 当前稳定版：PHP 8.5.12（旧稳定 8.4.27 / 8.3.36 / 8.2.35）
- 关键日程：PHP 8.6.0 GA 计划 2026-11-19；PHP 8.2 EOL 2026-12-31
二、头条：10-21 双严重 RCE，仍未完全平息
10 月 21 日，php 官方发布四个安全版本（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35），一次性修复两个 cvss v4.0 9.2 critical 的远程代码执行漏洞：
- CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）：致命错误发生在错误时点会让内部状态指向上一请求的内存，同一 worker 后续请求复用已释放内存。已确认 UAF 与 worker 崩溃，并针对 Apache mod_php 完成了真实应用 RCE 演示。NVD 状态 Analyzed，CVSS v4.0 9.2 / v3.1 8.1。
- CVE-2026-109618：与 109619 同批修复，位于内存管理与错误处理等几乎每个请求都会经过的核心路径。
官方明确：无完整缓解措施，升级是唯一完整方案。
同时请注意官方 10-23 信息性公告 CVE-2026-115560（Session upload progress，官方尚未公布完整公告）：建议在 php.ini / FPM 池配置中设置 session.upload_progress.enabled=0 并重启所有 worker。
行动清单：
- 全部在维护分支立即升级至 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35；
- 仍停留在 PHP 7.4 / 8.0 / 8.1（EOL 分支）的部署，官方已提供最小源码 backport，供自行编译或向 LTS 供应商索取；
- 公网暴露的 Apache mod_php 与 PHP-FPM 实例优先处理；
- 无法立即升级时的部分缓解：
memory_limit=-1、降低post_max_size、session.upload_progress.enabled=0、PHP 8.5 设fatal_error_backtraces=0。
三、11-19 集中发布窗口：一个 GA、两个补丁版
- PHP 8.6.0 RC5 已开放测试（11-05），特性已冻结；官方明确「下一个版本即首个 GA 版 PHP 8.6.0，计划 2026-11-19 发布」。RC 仅用于兼容性预检，勿用于生产。
- PHP 8.5.13RC1 / 8.4.28RC1 同期开测（构建日期 11-05），官方邮件列表明确「8.5.13 预计 11 月 19 日发布」。
- 也就是说 11-19 一天之内预计落地：8.6.0 GA + 8.5.13 + 8.4.28，建议提前排期升级与回归验证。
PHP 8.6 标准库方面，PHP 基金会 11-03 官方文章确认新增 SortDirection 枚举与 Time\Duration 类（纳秒精度），配套新轮询 API；Time\Instant / Time\Clock RFC 正在讨论中。
立即学习“PHP免费学习笔记（深入）”；
四、Laravel 三连漏洞：一个 critical、一个 medium、一个 low
- CVE-2026-114509（critical，CVSS v4.0 9.2）：TokenGuard 在配置为标准 token-based API guard 时，攻击者可提交特制非字符串凭据，在 MySQL/MariaDB 等配置下无需有效 token 即可以任意已有用户身份通过认证（CWE-287）。影响 升级至 12.68.0 / 13.29.0。
- CVE-2026-114508（medium，CVSS v3.1 6.5）：某些只读端点处理 relationship inclusion 时，仅具读权限的用户即可对关联表触发破坏性数据库操作，造成不可逆数据丢失（CWE-470）。升级至 12.68.0 / 13.27.0。
- CVE-2026-102279（low，CVSS v3.1 3.1）：APP_DEBUG=true 时调试页可触发 DOM 型 XSS。生产环境关闭 APP_DEBUG，升级至 12.69.0 / 13.30.0。
Laravel 生态另一条主线：官方 AI SDK v1.0 已发布（9-23），Packagist 最新 v1.3.0 要求 PHP ^8.3，Advisories 为 0；配套 Laravel Boost 作为官方 MCP Server。
Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。
五、生命周期：PHP 8.2 还有 51 天
官方在 8.2.35 公告中明确：PHP 8.2 分支 2026-12-31 EOL，此后不再有安全修复。距基准日不足两个月，8.2 部署须在年底前完成向 8.3 / 8.4 / 8.5 的升级排期。
当前受支持分支全景：稳定 8.5.12；旧稳定 8.4.27 / 8.3.36 / 8.2.35；8.6 处于 RC 阶段。
六、RFC 与语言演进动态
- grapheme_str_pad（11-03 初稿）：按字素簇填充字符串的 intl 扩展函数，投票尚未开始；
- 预备字面量字符串匹配（11-02）：提出 Str\Matcher / Str\Replacer 等三个类与 ext/strmatch 扩展，参考实现已含 C 代码与 PHPT 测试，11-06 起在 internals 讨论；
- 两份 bcrypt 预哈希 RFC 并行讨论：PASSWORD_BCRYPT_WRAP 与 PASSWORD_BCRYPT_SHA256 内容相近，命名与 PHC 格式存在分歧；
- Sunset PECL RFC（11-05）：提案 2027-06-30 起 pecl.php.net 转只读、2029-12-31 关闭站点，扩展作者须在此前迁移到 PIE；
-
Context Managers v2（目标 PHP 8.7）：引入
using关键字定义 context block，讨论 11-05 启动； - 进制转换函数遇非法字符抛异常 RFC 以 27:1 通过，将在 PHP 8.7 生效（二手周报口径，待 wiki 复核）。
七、值得关注的趋势：AI 深入 PHP 官方安全流程
PHP 基金会官方博客披露：与 Alpha-Omega 合作使用 Anthropic Claude Mythos 扫描 PHP 源码，并引入 OpenAI Daybreak Red 验证安全报告与利用代码，配合各平台 sanitizer 构建复现环境。基金会 2026 年 5 月组建 Ecosystem Security Team，并设 AI Security Engineer in Residence 岗位。AI 辅助漏洞挖掘与验证已正式进入 PHP 官方安全流程——这可能是本年度 PHP 生态最重要的结构性变化之一。
八、数据口径说明
本报告数据来自持续巡检的 23 个信息源，包括：php.net 新闻/下载/归档/ChangeLog/预发布构建页与官方 Atom feed、php/php-src Security Advisories 与 Releases、PHP Foundation 官方博客、wiki.php.net RFC、PHP Internals Discourse、oss-sec 邮件列表、GitHub Advisory REST API、NVD CVE REST API、OSV API、Packagist 安全公告 API 等官方与权威渠道。所有条目均标注来源链接与核验状态：官方一手标「已官方确认」，双源比对标「双源交叉核实」，二手信息一律标「单源待核实」，无法核实的条目不入库。
（本文数据截至 2026-11-10，后续将按各信息源核查频率持续更新。）
