把时间往回拨一个月：9 月 24 日，php 发布了 8.5.11 / 8.4.26 / 8.3.35 / 8.2.34 四个安全版本，覆盖 fpm、openssl、phar、soap、standard、filter、mysqlnd、windows 等多个组件，合计修复 11 个 cve。这是 10 月严重 rce 之前最近的一次例行安全批次。
▲ 事件来源页面实时截图：php.net（secure.php.net 镜像）
主要修复内容
包括 FPM IPv6 ACL 绕过、TLS 主机名校验回退 CN、OpenSSL 堆溢出、Phar 整数溢出、SOAP 无界递归、HTTP 流包装器凭据泄漏与越界读等。后续文章会逐条展开最重要的几份官方公告。
升级建议
若现网仍停留在 9 月版本，不必逐级升级，直接跳到 10 月批次（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）即可同时覆盖两批修复。
这批修的都是什么
8.5.11 / 8.4.26 / 8.3.35 / 8.2.34 是 9 月批次的安全发布，覆盖 SOAP、FPM、HTTP 流包装器、过滤器、pgsql、bcmath、OpenSSL 等多个扩展，共 11 个 CVE。多数为内存安全类问题，其中数个可在未认证情况下触发崩溃或数据破坏。
怎么排优先级
先看暴露面：对外提供 SOAP 服务、使用 FPM 的 allowed_clients、或允许应用抓取外部 URL 的环境应优先处理；仅内部调用、且不加载对应扩展的可以跟随常规窗口。统一做法是直接升到所在分支的最新补丁版本，一次覆盖全部 11 个 CVE。
立即学习“PHP免费学习笔记（深入）”；
升级时的验证顺序
先在预发环境用 php -m 核对扩展清单，确认受影响扩展（soap / fpm / filter / pgsql / bcmath / openssl）的实际启用状态；再跑核心业务回归；最后灰度切换。升级后检查 error_log 是否出现解析、加密相关的新异常，避免把修复带来的行为变化误判为回归。
▲ 官方索引页截图
▲ php.net 官方版本页面截图
关键信息
| 项目 | 内容 |
|---|---|
| 类目 | 版本更新 |
| 级别 | 高 |
| 日期 | 2026-09-24 |
| 关联编号 | 8.5.11 / 8.4.26 / 8.3.35 / 8.2.34 |
| 影响范围 | 8.5 / 8.4 / 8.3 / 8.2 |
| 核验状态 | 双源交叉核实 |
来源：https://secure.php.net/
