php.net 10-21 关键 rce 安全公告明确：php 8.1 及更早版本不再接收 php 项目更新；鉴于漏洞严重性，php 安全团队为 php 7.4、8.0、8.1 提供了最小源码 backport，供自行编译或无法获得 lts 供应商支持者使用；linux 发行版与 lts 供应商已提前收到补丁。公告同时给出无法立即升级时的部分缓解措施（memory_limit=-1、降低 post_max_size、session.upload_progress.enabled=0、php 8.5 设 fatal_error_backtraces=0 等），并强调只有升级才是完整方案。
关键信息一览
- 情报类目：补丁修复（重要级别：高）
- 发布日期：2026-10-21 核验状态：已官方确认
- 关联编号：CVE-2026-109618 / CVE-2026-109619 / PHP 7.4-8.1 backport
- 影响范围：PHP 7.4 / 8.0 / 8.1（EOL 分支）
- 来源机构：php.net 官方安全公告（官方一手）
建议动作
仍在 EOL 分支的部署优先升级到 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12；无法升级时应用官方 backport 或向发行版供应商索取 backported 修复
来源
本文依据官方及权威渠道信息整理，原始出处：https://www.php.cn/link/a232176a129c157a9e406cabbd1d9bc6
