1. Identificeer de echte Web-runtime

Noteer branch, volledige pakketrevisie, bron, extensies, dienst en handler. CLI en Web kunnen verschillen. Controleer pools, Apache, images, queues en replica’s. Regel back-up, compatibiliteitstests en rollback vóór productieaanpassingen.

2. Installeer een gepatchte build

Eerste versies: 8.2.35, 8.3.36, 8.4.27 en 8.5.12. Kies een ondersteunde branch en passende extensies. Test apps en healthchecks. Gebruik PHP of de verantwoordelijke leverancier. WAF en CMS-updates patchen de interpreter niet.

Vier branches. Een duidelijk updatedoel.
PHP-branchUpstream-versies lager danEerste gepatchte versieEinde beveiligingsondersteuning
PHP 8.5< 8.5.12✓ 8.5.1231 dec 2029
PHP 8.4< 8.4.27✓ 8.4.2731 dec 2028
PHP 8.3< 8.3.36✓ 8.3.3631 dec 2027
PHP 8.2< 8.2.35✓ 8.2.3531 dec 2026
Gebruikt u PHP 8.1 of ouder?

Geen reguliere PHP-release voor deze branches. Minimale broncode-backports bestaan voor 7.4, 8.0 en 8.1. Controleer leverancierondersteuning apart. Lees de gids ↗

Distributie-backports

Ubuntu, Debian en zakelijke Linux behouden soms oude upstream-nummers met gepatchte revisies. Een banner 8.3.6 bewijst geen kwetsbaarheid of herstel. Koppel OS, repository, architectuur en revisie aan BEIDE CVE’s. Wij verzinnen geen pakketgrenzen.

3. Herstart en verifieer alles

Nieuwe bestanden vervangen geen workers in geheugen. Herstart Apache bij mod_php of betreffende FPM-pools, plus blijvende queues. Controleer starttijd, Web-versie, pakket, healthchecks en replica’s. Verwijder diagnosepagina’s meteen; laat phpinfo() niet openbaar staan.

Voorbeeldopdracht / INVENTORY

shell
php -v
php --ini
# Check the executable used by the Web service separately.
php-fpm -v
# On versioned installations, for example:
php-fpm8.3 -v

Herstelgids

Ubuntu en Debian

Identificeer php*-common en het Web-handlerpakket.

Lees de gids

RHEL, Rocky en AlmaLinux

Onderscheid OS-pakketten, applicatiestreams en externe repositories.

Lees de gids

Docker en containers

Dezelfde container herstarten installeert geen patch.

Lees de gids

BaoTa en 1Panel

Panel-PHP kan apart staan van systeem-PHP.

Lees de gids

WordPress en managed hosting

WordPress, Drupal of Joomla bijwerken vervangt PHP niet.

Lees de gids

PHP2Shell verhelpen in frameworks en CMS ↗

Primaire bronnen en meer informatie

PHP security teamSecurity advisory · 21 Oct 2026
CVE-2026-109618GHSA-w8hw-w9fx-j79w · OOM corruption
CVE-2026-109619GHSA-6wmf-4rv5-p3rp · Stale global state
Volgende stap3. Herstart en verifieer alles ↗