Linux 发行版
各 Linux 发行版的 PHP2Shell 修复包版本
发行版会把修复回移（backport）到自己的 PHP 包里，所以版本号经常看起来还是旧的。先在下表找到你所用版本的首个修复构建，再核对实际为网站服务的那个包。
最后核实 2026-10-23
版本号旧，不代表没修复
Ubuntu 24.04 修复后 php -v 仍显示 PHP 8.3.6；Debian、RHEL、AlmaLinux 和 SUSE 也是如此。请用完整的包修订号对照厂商公告，单看 php -v 无法判断。
已核实的发行版修复包版本
以下是对应系统版本和源码包覆盖两个 CVE 的首个修复构建。发行版采用自己的修订号，因此较旧的上游版本号也可能已修复。核对准确的系统版本、官方更新渠道和已安装构建，并重启所有 Web 工作进程。核对日期：2026-10-22。
| 操作系统 | PHP 软件包 | 首个已修复的厂商构建 | 更新渠道 | 依据 |
|---|---|---|---|---|
| SLE 15 SP7 · Web and Scripting Module | php8 | 8.3.36-150700.3.24.1 | SUSE 订阅 / 已启用模块 | SUSE-SU-2026:4844-1 |
| Ubuntu 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | 安全更新 | USN-8948-1 |
| Ubuntu 26.04 LTS | php8.5 | 8.5.4-0ubuntu1.5 | 安全更新 | USN-8948-1 |
| Ubuntu 24.04 LTS | php8.3 | 8.3.6-0ubuntu0.24.04.13 | 安全更新 | USN-8948-1 |
| Ubuntu 22.04 LTS | php8.1 | 8.1.2-1ubuntu2.28 | 安全更新 | USN-8948-1 |
| Ubuntu 20.04 LTS | php7.4 | 7.4.3-4ubuntu2.29+esm5 | Ubuntu Pro / ESM | USN-8948-2 |
| Ubuntu 18.04 LTS | php7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 | Ubuntu Pro / ESM | USN-8948-2 |
| Ubuntu 16.04 LTS | php7.0 | 7.0.33-0ubuntu0.16.04.16+esm22 | Ubuntu Pro + Legacy Support 附加支持 | USN-8948-2 |
| Ubuntu 14.04 LTS | php5 | 5.5.9+dfsg-1ubuntu4.29+esm18 | Ubuntu Pro + Legacy Support 附加支持 | USN-8948-2 |
| Debian 13 (trixie) | php8.4 | 8.4.27-1~deb13u1 | 安全更新 | DSA-6574-1 |
| Debian 12 (bookworm) | php8.2 | 8.2.35-1~deb12u1 | Debian LTS / security | DLA-4848-1 |
| RHEL 8 · php:7.4 | php | 7.4.33-8.module+el8.10.0+25117+30337cca | Red Hat AppStream | RHSA-2026:87080 |
| AlmaLinux 10 · php 8.3 (default) | php | 8.3.33-1.el10_2.alma.1 | AlmaLinux AppStream | AlmaLinux blog |
| AlmaLinux 10 · php8.4 | php8.4 | 8.4.24-1.el10_2.alma.1 | AlmaLinux AppStream | AlmaLinux blog |
| AlmaLinux 9 · php 8.0 (default) | php | 8.0.30-8.el9_8.alma.1 | AlmaLinux AppStream | AlmaLinux blog |
| AlmaLinux 9 · php:8.3 | php | 8.3.33-1.module_el9.8.0+328+1fdeb728.alma.1 | AlmaLinux AppStream | AlmaLinux blog |
| AlmaLinux 9 · php:8.2 | php | 8.2.33-1.module_el9.8.0+327+37dfd4b4.alma.1 | AlmaLinux AppStream | AlmaLinux blog |
| AlmaLinux 9 · php:8.1 | php | 8.1.32-1.module_el9.8.0+326+528679fc.alma.1 | AlmaLinux 已退役流 | AlmaLinux blog |
| AlmaLinux 8 · php:8.2 | php | 8.2.33-1.module_el8.10.0+4320+c30d6dbb.alma.1 | AlmaLinux AppStream | AlmaLinux blog |
| AlmaLinux 8 · php:8.0 | php | 8.0.30-1.module_el8.10.0+4319+26f10322.alma.1 | AlmaLinux 已退役流 | AlmaLinux blog |
| AlmaLinux 8 · php:7.4 | php | 7.4.33-8.module_el8.10.0+4321+cf5fd4bb | AlmaLinux AppStream | AlmaLinux blog |
| AlmaLinux 8 · php:7.3 | php | 7.3.20-1.module_el8.10.0+4316+90ea5fe5.alma.1 | AlmaLinux 已退役流 | AlmaLinux blog |
| AlmaLinux 8 · php:7.2 | php | 7.2.24-1.module_el8.10.0+4315+7b734bf3.alma.1 | AlmaLinux 已退役流 | AlmaLinux blog |
本表不代表其他仓库、Ubuntu PPA、Debian sid/forky 或所有第三方镜像的状态。同一官方更新渠道中的后续构建可能包含这些修复，应以厂商公告为准；版本检查器仍会要求你另行核实厂商软件包。 AlmaLinux 和 RHEL 各行仅适用于所列模块流，请安装该版本或更高版本。已退役的流不保证今后继续修复。Red Hat 已有更多覆盖两个 CVE 的公告，包括 RHEL 9 php:8.3 的 RHSA-2026:87079。本表仅列已核实的部分记录，并非完整的 Red Hat 发布清单；请查阅自己产品及模块流的公告。 SUSE 这一行仅覆盖 Web and Scripting Module 15-SP7（aarch64、ppc64le、s390x、x86_64）。SUSE 模块需要匹配的已注册产品和已启用仓库，模块包含在 SLES 订阅中。通过 YaST Online Update 或 zypper patch 应用公告对应的更新，然后重启实际使用的 PHP-FPM/Apache 工作进程。PHP8 软件包已发布，不代表 PHP7、SLE 16 或未具备所需支持渠道的 SP6 安装也已修复。
核对已安装的构建
把输出与上表对照：在同一发行版和同一更新渠道下，已安装的修订号必须等于或高于表中列出的构建。然后重启所有 PHP 工作进程。
# Debian / Ubuntu: installed PHP package revisions
dpkg-query -W -f='${binary:Package} ${Version}\n' 'php*-common' 'libapache2-mod-php*' 2>/dev/null
# RHEL / AlmaLinux / Rocky: installed build and module stream
rpm -q php-common php-fpm
dnf module list --enabled php 2>/dev/null
# SUSE: installed build and pending security patches
rpm -q php8 php8-fpm
zypper list-patches --cve=CVE-2026-109618
# Then restart the workers and confirm they started after the upgrade
ps -eo pid,lstart,cmd | grep -E '[p]hp-fpm|[a]pache2|[h]ttpd'表里没有你的版本？
常见问题
升级后 php -v 为什么还显示旧版本？+
发行版回移安全修复时不改上游版本号。Ubuntu 24.04 的修复包是 8.3.6-0ubuntu0.24.04.13，所以 php -v 依然显示 8.3.6。请用 dpkg-query 或 rpm -q 查看包修订号，并与厂商公告对照。
升级软件包后需要重启吗？+
需要。正在运行的 PHP-FPM、Apache（mod_php）和常驻 PHP 进程会一直使用内存里的旧代码，直到重启。升级后请重启它们，并确认进程启动时间晚于升级时间。
Ubuntu 20.04 或 18.04 有修复吗？+
有，通过 Ubuntu Pro / ESM 提供（USN-8948-2）。未启用 Pro 时，标准软件源里拿不到修复包。16.04 和 14.04 需要 Legacy Support。
Red Hat RHSB-2026-013 是什么？+
RHSB-2026-013 是 Red Hat 针对 PHP2Shell 发布的安全公告，覆盖 RHEL 10、9、8 和 OpenShift Dev Spaces 3，并说明基于 RHEL 或 UBI 构建的产品和容器也可能受影响：基础镜像更新后请重建容器。修复按模块流分别发布，例如 RHSA-2026:87079（RHEL 9 php:8.3）和 RHSA-2026:87080（RHEL 8 php:7.4）。
相关页面
- 修复 / 打补丁PHP2Shell 分步修复：Ubuntu、Debian、Sury、RHEL、Remi、Alpine、Docker、cPanel EasyApache、Plesk、Homebrew、Windows，以及重启、验证和 PHP 8.1 及更早版本的出路。
- 网站与版本检测输入网站 URL 检查公开的 PHP 信息，或粘贴 PHP 版本号。了解 PHP2Shell 修复状态、检测结果的限制，以及向主机商确认补丁的具体方法。
- 宝塔 / 1Panel宝塔（aaPanel）与 1Panel 中 PHP2Shell 的已修复 PHP 构建，包括 PHP 7.x、8.0、8.1 修复版，以及升级、重启和核对步骤。