常见问题
哪些 PHP 版本受影响？
受支持分支中 8.5.12、8.4.27、8.3.36 和 8.2.35 之前的所有版本。PHP 8.1 及更早版本已停止支持，PHP 项目不会为其发布新版本；除非您的供应商确认已向后移植修复，否则请视为受影响。
我的网站没有显示 PHP 版本。我安全吗？
不一定。隐藏版本（expose_php = Off）是良好做法，但并不能修补任何问题。请在服务器上用 php -v 检查，或咨询您的服务商。
检测工具显示的是旧版本，但主机商说已经修补。谁是对的？
可能都对。Debian、Ubuntu 和 RHEL 等 Linux 发行版经常在不改变版本号的情况下向后移植安全修复。请询问主机商安装的是哪个软件包构建，以及其更新日志中是否提到 CVE-2026-109618 和 CVE-2026-109619。
WordPress、Laravel 或我的 CMS 受影响吗？
漏洞在 PHP 本身，因此运行在受影响 PHP 上的任何应用程序都会暴露。研究人员演示了针对 WordPress、Drupal 和 Joomla 的无需认证的攻击，但这些只是示例 — 即使是一个普通的“Hello World”页面也足够了。仅更新 WordPress 或插件无法解决问题 — 必须更新 PHP。
即使没有执行代码，数据也会泄露吗？
会。CVE-2026-109619 可以在攻击者不运行代码的情况下泄露 PHP 进程内存 — 包括其他请求的密码、会话令牌、API 密钥和证书。此类泄露不会留下文件，难以检测，因此请更换在互联网上运行过受影响版本的任何网站的机密信息。
关闭 session.upload_progress 能解决问题吗？
不能。php.net 将 session.upload_progress.enabled=0 列为针对 CVE-2026-109619 部分已确认途径的部分缓解措施。它不能覆盖所有变体，对 CVE-2026-109618 也没有作用。
Web 应用防火墙够用吗？
WAF 或请求限制可以在您更新期间减少暴露面，但问题出在 PHP 处理请求和内存的方式上。仍然必须更新。
更新后需要重启什么吗？
需要。PHP-FPM、Apache、LiteSpeed 和长时间运行的工作进程在重启之前会继续运行旧代码。容器必须从新镜像重新创建。
这个检测工具实际做了什么？
它向您输入的地址发送一次 HEAD 请求（如果不允许 HEAD，则发送 GET），最多跟随三次重定向，并读取 X-Powered-By 和 Server 等响应头。它从不发送攻击载荷、大型请求或上传内容，也不扫描其他路径。
检测任意网站合法吗？
请仅检测您拥有或获准评估的网站。该请求与普通访问相同，但负责任地使用是您的责任。我们按网络和按网站限制检测次数。
PHP 8.5.12 是否已完全修复？
2026 年 10 月 22 日曾流传有关 8.5.12 崩溃的报告，但未被确认为远程漏洞。我们以 php.net 为准；如有新版本发布，本网站会更新，“最后核实”日期也会随之改变。
在哪里可以查看官方详情？
请参阅 php.net 以及 PHP 项目的 GitHub 安全公告 GHSA-w8hw-w9fx-j79w 和 GHSA-6wmf-4rv5-p3rp。研究团队（Wiz Research、OpenAI Codex Security 和 Calif）已在 php2shell.com 发布了研究结果。
漏洞是谁发现的？
由 Wiz Research、OpenAI Codex Security 和 Calif 的研究人员发现，并通过与负责准备修复的 PHP 安全团队进行协调披露。请参阅 The PHP Foundation 关于此次发布的文章。