1. Identifique o PHP Web real

Registre ramificação, revisão completa, origem, extensões, serviço e handler. CLI e Web podem usar binários diferentes. Revise pools FPM, Apache, imagens, filas e réplicas. Prepare backup, testes de compatibilidade e reversão antes de alterar produção.

2. Instale a compilação corrigida

Primeiros lançamentos: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Escolha uma ramificação com suporte e extensões compatíveis. Teste aplicações e verificações de saúde. Use fontes oficiais ou do fornecedor responsável. WAF e atualização do CMS não corrigem o interpretador.

Quatro ramificações. Um destino claro.
Ramificação PHPVersões originais inferiores aPrimeira versão corrigidaFim do suporte de segurança
PHP 8.5< 8.5.12✓ 8.5.1231 de dez. de 2029
PHP 8.4< 8.4.27✓ 8.4.2731 de dez. de 2028
PHP 8.3< 8.3.36✓ 8.3.3631 de dez. de 2027
PHP 8.2< 8.2.35✓ 8.2.3531 de dez. de 2026
Usa PHP 8.1 ou anterior?

Não há lançamento regular do PHP para essas ramificações. Existem backports mínimos de código-fonte para 7.4, 8.0 e 8.1. Verifique o suporte do fornecedor separadamente. Ler guia ↗

Backports de distribuições

Ubuntu, Debian e Linux empresarial podem preservar o número original com revisão corrigida. Um banner 8.3.6 não prova vulnerabilidade nem reparo. Verifique sistema, repositório, arquitetura e revisão para AMBAS as CVEs. Não inventamos limites de versões de pacotes.

3. Reinicie e verifique tudo

Arquivos novos não substituem workers na memória. Reinicie Apache para mod_php ou serviços e pools FPM, além de filas persistentes. Confira horário de início, versão Web, revisão, saúde e cada réplica. Remova páginas de diagnóstico imediatamente; nunca deixe phpinfo() público.

Exemplo de comando / INVENTORY

shell
php -v
php --ini
# Check the executable used by the Web service separately.
php-fpm -v
# On versioned installations, for example:
php-fpm8.3 -v

Guia de correção

Ubuntu e Debian

Identifique php*-common e o pacote do handler Web.

Ler guia

RHEL, Rocky e AlmaLinux

Diferencie pacotes do sistema, streams e repositórios terceiros.

Ler guia

Docker e contêineres

Reiniciar o mesmo contêiner não instala patches.

Ler guia

BaoTa e 1Panel

O PHP do painel pode ser independente do sistema.

Ler guia

WordPress e hospedagem gerenciada

Atualizar WordPress, Drupal ou Joomla não atualiza PHP.

Ler guia

Corrigir PHP2Shell em frameworks e CMS ↗

Fontes primárias e leitura complementar

PHP security teamSecurity advisory · 21 Oct 2026
CVE-2026-109618GHSA-w8hw-w9fx-j79w · OOM corruption
CVE-2026-109619GHSA-6wmf-4rv5-p3rp · Stale global state
Próximo passo3. Reinicie e verifique tudo ↗