目前位置： 正文

PHP Windows 套件重建：版本號相同，也要確認 Brotli 修補包的 -1 後綴

2026-10-27 精品教程 0 0

PHP 團隊在 2026 年 10 月 26 日更新 Windows 發行套件，提供 8.5.12-1、8.4.27-1、8.3.36-1 與 8.2.35-1。這批重建納入 Brotli 1.2.1，處理 CVE-2026-111497；PHP 執行版本本身沒有改變，因此只看 php -v 可能漏掉套件差異。

這次 -1 代表相依套件重建

官方說明，後綴 -1 用來區分更新依賴的 Windows package rebuild，同一版 PHP 原始碼與 runtime 版本維持不變。維護者應核對下載套件名稱、來源及相依版本，而不是看到 8.4.27 就一律判定已包含這次重建。

cURL 自動解壓條件要保留

Windows 套件中的受影響解碼器，可能經由 cURL 擴充的自動 HTTP 回應解壓路徑觸及。cURL 預設不啟用這項功能，但應用或 HTTP client library 可以開啟。這個條件與網站向訪客傳送壓縮內容不同，也不能直接把 Windows 套件的結論套用到所有 Linux 發行版。

替換套件後確認網站使用的是新檔案

更新前保存 php.ini、擴充清單與可回復的程式檔；選對架構及 thread-safety 套件，依原部署方式替換並重新啟動網站程序。再測試對外 HTTPS 請求、壓縮回應與主要功能。正式服務若仍載入舊 DLL，命令列看到新版本也不能作為完整驗收。

事件公告日期：2026-10-26。依公告翌日編入事件時間線，於 2026 年 11 月 1 日補錄；本文按歸檔日已公開資訊整理。封面為 AI 生成的概念插畫。

參考資料

原文鏈接：https://wntheme.com/php-windows-brotli-rebuild/，轉載請註明出處。
0

猜妳喜歡

PHP兩陣列相加少了一筆：+與array_merge怎麼選
精品教程
array_mergePHP陣列鍵名

把兩批文章標題放進陣列，用$left + $right合起來，結果右邊第一筆不見了。PHP陣列的加號是按鍵名做聯集，不是把所有值接到後面。兩邊有相同鍵名時，左邊的值會留下，右邊對應的值會被忽略。 兩個列表都從0開始，第一個鍵就撞上了 以下每段都是獨立PHP範例，可各自存成.php檔執行。註解列出預期輸出，資料只是示例字串。 <?php $left = ['header', 'footer']; $right = ['sidebar']; echo json_encode($left + $right), PHP_EOL; // ["header","footer"] echo json_encode(array_merge($left, $right)), PHP_EOL; // ["header","footer","sidebar"] left的鍵是0、1；right的鍵也是0。因此，sidebar與header搶的是同一個鍵，加號保留左邊的header，並不是按文字內容去除重複。若只是要把兩批列表依序接起來，array_merge會保留三個值，並把整數鍵從0重新編號。 字串鍵相同時，兩種寫法的優先順序相反 <?php $left = ['color' => 'blue', 'rows' => 12]; $right = ['color' => 'red', 'cache' => true]; echo json_encode($left + $right), PHP_EOL; // {"color":"blue","rows":12,"cache":true} echo json_encode(array_merge($left, $right)), PHP_EOL; // {"color":"red","rows":12,"cache":true} 加號保留左邊color的blue；array_merge則由後面的red覆蓋前面的值。右邊獨有的cache，在兩種結果裡都會出現。合併網站設定時，先決定同鍵衝突要由誰優先，再選寫法；交換左右位置也會改變結果。 這個例子只處理一層鍵值。巢狀設定裡若還有陣列，不能直接把它當成逐層遞迴合併。 數字是文章ID時，不要順手重編鍵名 <?php $left = [101 => 'Article A']; $right = [202 => 'Article B']; echo json_encode($left + $right), PHP_EOL; //...
2026-10-24 55 0
文尼先生 2026-10-24
PHP 上傳進度新增風險：已升級仍要核對 Session 序列化設定
精品教程
網站安全

PHP 於 2026 年 10 月 23 日發布 Session upload progress 補充公告，說明 CVE-2026-115560 的特殊設定風險。
2026-10-24 0 0
2026-10-24
PHP2Shell SSH 處理教學：停用上傳進度、升級 PHP 與重啟驗證
精品教程
PHPPHP2ShellSSH

能登入 SSH 的站長，處理 PHP2Shell 時先做三件事：找出網站真正使用的 PHP、在正確位置套用臨時緩解、更新 PHP 並重啟對應工作程序。下面以 Ubuntu 24.04、APT 安裝的 PHP 8.3-FPM 為完整操作例子，另說明寶塔及 Docker 的分流；路徑與服務名稱要跟自己的環境核對，不能整篇不看就貼上。 PHP 官方已在 2026 年 10 月 21 日修補 CVE-2026-109618 與 CVE-2026-109619。上游修補版是 8.2.35、8.3.36、8.4.27、8.5.12。發行版可能回移修補，請比對完整套件版本；例如 Ubuntu 24.04 的公告修補版為 8.3.6-0ubuntu0.24.04.13。 登入 SSH 後，先看 PHP 是誰安裝的 先執行以下唯讀命令。它們用來找線索，尚未改動設定或更新套件： cat /etc/os-release command -v php php -v php --ini ps -eo pid,ppid,args | grep '[p]hp-fpm' systemctl list-units --type=service --all | grep -E 'php.*fpm|apache2|httpd' php -v 和 php --ini 顯示的是命令列 PHP，未必是網站的 PHP。還要對照網站的 Nginx／Apache 虛擬主機設定、FastCGI socket，以及對應 FPM master 的啟動路徑。寶塔可能使用自己的 PHP 目錄；容器內的 PHP 也不會隨宿主機的 APT...
2026-10-21 71 0
文尼先生 2026-10-21
PHP2Shell 高危漏洞已修補：WordPress 站長該確認什麼？
精品教程
PHPPHP2Shell網站安全

PHP 官方於 2026 年 10 月 21 日發布緊急安全更新，修補俗稱 PHP2Shell 的兩個高危漏洞。使用 WordPress 的站長，現在要向主機商確認的是：網站實際使用的 PHP 是否已套用修補，以及更新後的工作程序是否已重新啟動。只在 WordPress 後台按下核心、主題或插件更新，無法完成這次 PHP 執行環境的修補。 PHP2Shell 影響哪些網站？ 這次涉及 CVE-2026-109618 與 CVE-2026-109619，官方預告列出的 CVSS v4.0 評分均為 9.2。問題出在 PHP 核心處理請求與記憶體的方式，可能讓未登入的遠端攻擊者執行程式碼。 PHP 官方把所有提供網頁請求的 PHP 安裝列為風險範圍，包括 PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP 與 LiteSpeed。當中 mod_php 的風險被列為最高，已有在應用程式碼執行前觸發攻擊的示範。因此，網站有登入頁、關閉會員註冊，或沒有讓訪客上傳檔案，都不能直接當成安全判定。 兩份上游公告分別描述記憶體耗盡時的狀態損壞，以及前一次請求留下的全域狀態引用了已釋放的記憶體。這也解釋了為何處理範圍會超出單一 WordPress 插件：維護者需要檢查主機上的 PHP 本身。 先對照分支，再確認修補來源 PHP 官方已發布下列修補版本；若採用上游版本，請更新至所屬分支的這個版本或更新版本。 PHP 8.2：8.2.35。 PHP 8.3：8.3.36。 PHP 8.4：8.4.27。 PHP 8.5：8.5.12。 由 Linux 發行版或長期支援供應商維護的套件，可能採用回移補丁：保留原本的基礎版本號，把安全修正加進套件。例如 Ubuntu 官方列出，24.04 的修補套件為 8.3.6-0ubuntu0.24.04.13，22.04 則為 8.1.2-1ubuntu2.28。不能因為畫面仍顯示 8.3.6，就斷定它一定沒有修補；也不能只聽到「有自動更新」就認定完成。請核對完整套件版本和供應商公告。 PHP 8.1 及更舊版本已不再獲得 PHP 專案的正常更新。官方這次提供了 7.4、8.0、8.1 的最小原始碼回移修補，供特定維護情境使用，並不代表這些分支恢復支援。若主機商無法提供相應修補，應安排遷移至仍受支援的 PHP 版本，先確認網站、主題與插件的相容性。 WordPress 站長可以怎樣向主機商確認？ 先登入自己的 WordPress...
2026-10-21 61 0
文尼先生 2026-10-21
PHP foreach跑完資料卻變了：引用變數用完記得unset
精品教程
foreachPHP引用

第一輪foreach改完價格，資料明明是11、21、31；接著只是再走訪一次，最後一項卻變成21。若前一輪寫了&$price，先查迴圈結束後有沒有unset($price)。引用不會隨著右大括號自動解除，後面再用同一個變數，就可能改到陣列尾項。 第二輪看似只讀，為何改了尾項 把下面程式存成PHP檔執行。第一輪透過引用替每個值加1，第二輪沒有寫任何更新陣列的程式，卻仍會改變結果。 <?php $prices = [10, 20, 30]; foreach ($prices as &$price) { $price += 1; } echo json_encode($prices), PHP_EOL; // [11,21,31] foreach ($prices as $price) { // 這裡沒有主動修改陣列 } echo json_encode($prices), PHP_EOL; // [11,21,21] 第一輪結束時，$price仍連著$prices最後一項。第二輪雖然沒有&，每次把元素值指派給$price，仍會透過殘留引用寫進尾項；輪到最後一項時，它已被前面的21覆蓋。問題不是json_encode，也不是陣列排序。 引用用完，立即解除連結 在引用迴圈結束後加上unset($price)，再開始下一輪。用完整程式重新執行，避免前一次實驗留下的引用干擾結果。 <?php $prices = [10, 20, 30]; foreach ($prices as &$price) { $price += 1; } unset($price); foreach ($prices as $price) { // 後續一般走訪 } echo json_encode($prices), PHP_EOL; // [11,21,31] 這裡unset的是引用變數$price，解除它與陣列元素的連結，不是刪除$prices的最後一項。不要誤寫成unset($prices[2])，那會移除元素。第一輪已完成的加1結果，也不會因為解除引用而還原。 不需要引用，就明確按key回寫 若只是更新每一項，可以改用key指定位置，把引用的生命週期問題拿掉。 <?php $prices = [10, 20, 30]; foreach ($prices as...
2026-10-20 54 0
文尼先生 2026-10-20
PHP找到第一項卻說沒有？array_search的0要這樣判斷
精品教程
array_searchPHP陣列搜尋

PHP搜尋陣列時，明明第一項就是要找的商品代碼，程式卻顯示「找不到」？先看你是不是把array_search()的結果直接放進if。它回傳的是鍵，不是單純的成功或失敗：找到第一項時，鍵可能是整數0；沒找到才回傳布林值false。 先把回傳值印出來 用一個普通的商品代碼清單就能重現。將下面存成獨立PHP檔執行，先觀察var_dump顯示的型別。 <?php $codes = ['starter', 'pro', 'team']; $key = array_search('starter', $codes, true); var_dump($key); // int(0) if ($key) { echo "找到\n"; } else { echo "找不到\n"; // 這個判斷寫錯了 } 這裡搜尋已成功，問題出在後面的條件。整數0在布林判斷中會被當成false，所以不能用if ($key)辨認搜尋是否成功。也不要改成if (!$key)或$key == false，它們同樣會把0混進失敗分支。 只把布林false當成沒找到 需要拿回鍵來讀取或處理那一項時，明確比較回傳值是否為布林false。下面是可替換前例的完整版本。 <?php $codes = ['starter', 'pro', 'team']; $key = array_search('starter', $codes, true); if ($key !== false) { echo '找到鍵：' . $key . "\n"; echo '商品代碼：' . $codes[$key] . "\n"; } else { echo "找不到\n"; } 這次會輸出鍵0及商品代碼starter。找不到時則走else。如果要用unset($codes[$key])移除匹配項，也應放在這個成功分支裡；不要在確認結果前就把false拿去當陣列鍵，否則可能誤操作鍵0。 第三個參數true，解決的是型別匹配 array_search的第三個參數和後面的!== false各有用途。前者要求搜尋值與陣列項目型別一致，後者分清「找到鍵0」和「沒有找到」。加了第三個參數，仍不能省略結果判斷。 <?php $ids = ['12', 12];...
2026-10-14 68 0
文尼先生 2026-10-14
顯示驗證碼
沒有帳號？註冊  忘記密碼？