目前位置： 正文

PHP 9 月安全更新：8.2 至 8.5 分支的修補版本與主機核對方式

2026-09-25 精品教程 0 0

PHP 在 2026 年 9 月 24 日發布 8.2.34、8.3.35、8.4.26 與 8.5.11 安全更新。WordPress 或其他 PHP 網站的站長，應請主機商核對網站程序實際使用的分支與修補狀態。

這批修補與哪些網站功能有關？

官方 ChangeLog 列出 PHP-FPM IPv6 存取控制繞過（CVE-2026-91768）、TLS 主機名稱驗證問題（CVE-2026-91769），以及 HTTP stream wrapper 跨來源重新導向可能洩漏憑證（CVE-2026-91766）等安全修補。這些是不同元件的問題，不能把所有 PHP 網站描述成同一種攻擊入口。

核對分支，不必為了安全更新直接跨大版本

先確認正式網站使用 8.2、8.3、8.4 還是 8.5，再對應本批修補門檻。若 Linux 發行版或主機商採用回移修補，請其提供安全套件依據。不要只看 SSH 命令列的 PHP 版本；CLI、FPM 與不同站點可能各用一套執行環境。

主機更新後的網站驗收

部署前保存設定、擴充清單及網站備份，更新後確認 FPM 等服務已載入新程式。再測試登入、表單、資料庫連線與對外 HTTPS 請求。若升級後出現相容性問題，交由維護者定位受影響擴充或程式，不宜長期回退至未修補版本。

事件公告日期：2026-09-24。依公告翌日編入事件時間線，於 2026 年 11 月 1 日補錄；本文按歸檔日已公開資訊整理。封面為 AI 生成的概念插畫。

參考資料

原文鏈接：https://wntheme.com/php-september-2026-security/，轉載請註明出處。
0

猜妳喜歡

PHP array_slice 後文章 ID 變成 0：保留數字鍵名的寫法
精品教程
PHP

array_slice 切出文章後，原本的整數 ID 鍵名卻變成 0？用第四個參數保留鍵名，並分清位置偏移、字串鍵名與普通列表。
2026-11-05 0 0
2026-11-05
PHP Windows 套件重建：版本號相同，也要確認 Brotli 修補包的 -1 後綴
精品教程
網站安全

PHP 團隊在 2026 年 10 月 26 日更新 Windows 發行套件，提供 8.5.12-1、8.4.27-1、8.3.36-1 與 8.2.35-1。
2026-10-27 0 0
2026-10-27
PHP兩陣列相加少了一筆：+與array_merge怎麼選
精品教程
array_mergePHP陣列鍵名

把兩批文章標題放進陣列，用$left + $right合起來，結果右邊第一筆不見了。PHP陣列的加號是按鍵名做聯集，不是把所有值接到後面。兩邊有相同鍵名時，左邊的值會留下，右邊對應的值會被忽略。 兩個列表都從0開始，第一個鍵就撞上了 以下每段都是獨立PHP範例，可各自存成.php檔執行。註解列出預期輸出，資料只是示例字串。 <?php $left = ['header', 'footer']; $right = ['sidebar']; echo json_encode($left + $right), PHP_EOL; // ["header","footer"] echo json_encode(array_merge($left, $right)), PHP_EOL; // ["header","footer","sidebar"] left的鍵是0、1；right的鍵也是0。因此，sidebar與header搶的是同一個鍵，加號保留左邊的header，並不是按文字內容去除重複。若只是要把兩批列表依序接起來，array_merge會保留三個值，並把整數鍵從0重新編號。 字串鍵相同時，兩種寫法的優先順序相反 <?php $left = ['color' => 'blue', 'rows' => 12]; $right = ['color' => 'red', 'cache' => true]; echo json_encode($left + $right), PHP_EOL; // {"color":"blue","rows":12,"cache":true} echo json_encode(array_merge($left, $right)), PHP_EOL; // {"color":"red","rows":12,"cache":true} 加號保留左邊color的blue；array_merge則由後面的red覆蓋前面的值。右邊獨有的cache，在兩種結果裡都會出現。合併網站設定時，先決定同鍵衝突要由誰優先，再選寫法；交換左右位置也會改變結果。 這個例子只處理一層鍵值。巢狀設定裡若還有陣列，不能直接把它當成逐層遞迴合併。 數字是文章ID時，不要順手重編鍵名 <?php $left = [101 => 'Article A']; $right = [202 => 'Article B']; echo json_encode($left + $right), PHP_EOL; //...
2026-10-24 55 0
文尼先生 2026-10-24
PHP 上傳進度新增風險：已升級仍要核對 Session 序列化設定
精品教程
網站安全

PHP 於 2026 年 10 月 23 日發布 Session upload progress 補充公告，說明 CVE-2026-115560 的特殊設定風險。
2026-10-24 0 0
2026-10-24
PHP2Shell SSH 處理教學：停用上傳進度、升級 PHP 與重啟驗證
精品教程
PHPPHP2ShellSSH

能登入 SSH 的站長，處理 PHP2Shell 時先做三件事：找出網站真正使用的 PHP、在正確位置套用臨時緩解、更新 PHP 並重啟對應工作程序。下面以 Ubuntu 24.04、APT 安裝的 PHP 8.3-FPM 為完整操作例子，另說明寶塔及 Docker 的分流；路徑與服務名稱要跟自己的環境核對，不能整篇不看就貼上。 PHP 官方已在 2026 年 10 月 21 日修補 CVE-2026-109618 與 CVE-2026-109619。上游修補版是 8.2.35、8.3.36、8.4.27、8.5.12。發行版可能回移修補，請比對完整套件版本；例如 Ubuntu 24.04 的公告修補版為 8.3.6-0ubuntu0.24.04.13。 登入 SSH 後，先看 PHP 是誰安裝的 先執行以下唯讀命令。它們用來找線索，尚未改動設定或更新套件： cat /etc/os-release command -v php php -v php --ini ps -eo pid,ppid,args | grep '[p]hp-fpm' systemctl list-units --type=service --all | grep -E 'php.*fpm|apache2|httpd' php -v 和 php --ini 顯示的是命令列 PHP，未必是網站的 PHP。還要對照網站的 Nginx／Apache 虛擬主機設定、FastCGI socket，以及對應 FPM master 的啟動路徑。寶塔可能使用自己的 PHP 目錄；容器內的 PHP 也不會隨宿主機的 APT...
2026-10-21 71 0
文尼先生 2026-10-21
PHP2Shell 高危漏洞已修補：WordPress 站長該確認什麼？
精品教程
PHPPHP2Shell網站安全

PHP 官方於 2026 年 10 月 21 日發布緊急安全更新，修補俗稱 PHP2Shell 的兩個高危漏洞。使用 WordPress 的站長，現在要向主機商確認的是：網站實際使用的 PHP 是否已套用修補，以及更新後的工作程序是否已重新啟動。只在 WordPress 後台按下核心、主題或插件更新，無法完成這次 PHP 執行環境的修補。 PHP2Shell 影響哪些網站？ 這次涉及 CVE-2026-109618 與 CVE-2026-109619，官方預告列出的 CVSS v4.0 評分均為 9.2。問題出在 PHP 核心處理請求與記憶體的方式，可能讓未登入的遠端攻擊者執行程式碼。 PHP 官方把所有提供網頁請求的 PHP 安裝列為風險範圍，包括 PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP 與 LiteSpeed。當中 mod_php 的風險被列為最高，已有在應用程式碼執行前觸發攻擊的示範。因此，網站有登入頁、關閉會員註冊，或沒有讓訪客上傳檔案，都不能直接當成安全判定。 兩份上游公告分別描述記憶體耗盡時的狀態損壞，以及前一次請求留下的全域狀態引用了已釋放的記憶體。這也解釋了為何處理範圍會超出單一 WordPress 插件：維護者需要檢查主機上的 PHP 本身。 先對照分支，再確認修補來源 PHP 官方已發布下列修補版本；若採用上游版本，請更新至所屬分支的這個版本或更新版本。 PHP 8.2：8.2.35。 PHP 8.3：8.3.36。 PHP 8.4：8.4.27。 PHP 8.5：8.5.12。 由 Linux 發行版或長期支援供應商維護的套件，可能採用回移補丁：保留原本的基礎版本號，把安全修正加進套件。例如 Ubuntu 官方列出，24.04 的修補套件為 8.3.6-0ubuntu0.24.04.13，22.04 則為 8.1.2-1ubuntu2.28。不能因為畫面仍顯示 8.3.6，就斷定它一定沒有修補；也不能只聽到「有自動更新」就認定完成。請核對完整套件版本和供應商公告。 PHP 8.1 及更舊版本已不再獲得 PHP 專案的正常更新。官方這次提供了 7.4、8.0、8.1 的最小原始碼回移修補，供特定維護情境使用，並不代表這些分支恢復支援。若主機商無法提供相應修補，應安排遷移至仍受支援的 PHP 版本，先確認網站、主題與插件的相容性。 WordPress 站長可以怎樣向主機商確認？ 先登入自己的 WordPress...
2026-10-21 61 0
文尼先生 2026-10-21
顯示驗證碼
沒有帳號？註冊  忘記密碼？