1. Найдите реальный Web-интерпретатор

Запишите ветку, полную ревизию пакета, источник, расширения, сервис и handler сайта. CLI и Web могут использовать разные бинарники. Проверьте все пулы, Apache, образы, очереди и реплики. До изменений подготовьте резервную копию, тесты и откат.

2. Установите исправленную сборку

Первые исправления: 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Выберите поддерживаемую ветку и совместимые расширения. Проверьте приложение и healthcheck. Используйте доверенный PHP или канал поставщика. WAF и обновление CMS интерпретатор не исправляют.

Четыре ветки. Ясная цель обновления.
Ветка PHPИсходные версии нижеПервая исправленная версияКонец обновлений безопасности
PHP 8.5< 8.5.12✓ 8.5.1231 дек. 2029 г.
PHP 8.4< 8.4.27✓ 8.4.2731 дек. 2028 г.
PHP 8.3< 8.3.36✓ 8.3.3631 дек. 2027 г.
PHP 8.2< 8.2.35✓ 8.2.3531 дек. 2026 г.
Используете PHP 8.1 или старше?

Обычных выпусков PHP для этих веток нет. Минимальные бэкпорты исходников доступны для 7.4, 8.0 и 8.1. Поддержку поставщика проверяйте отдельно. Читать руководство ↗

Бэкпорты дистрибутивов

Ubuntu, Debian и корпоративный Linux могут оставить старый исходный номер с новой ревизией. Баннер 8.3.6 ничего сам по себе не доказывает. Сопоставьте ОС, репозиторий, архитектуру и установленный пакет с ОБЕИМИ CVE. Пороговые ревизии здесь не выдумываются.

3. Перезапустите и проверьте всё

Новые файлы не заменяют старые процессы в памяти. Перезапустите Apache для mod_php или нужные FPM-пулы, также постоянные очереди. Проверьте время старта, Web-версию, пакет, здоровье и все реплики. Удалите диагностические страницы; не оставляйте публичный phpinfo().

Пример команды / INVENTORY

shell
php -v
php --ini
# Check the executable used by the Web service separately.
php-fpm -v
# On versioned installations, for example:
php-fpm8.3 -v

Руководство

Ubuntu и Debian

Найдите php*-common и пакет Web-handler.

Читать руководство

RHEL, Rocky и AlmaLinux

Различайте пакеты ОС, потоки приложений и сторонние источники.

Читать руководство

Docker и контейнеры

Перезапуск того же контейнера патч не устанавливает.

Читать руководство

BaoTa и 1Panel

PHP панели может отличаться от системного.

Читать руководство

WordPress и управляемый хостинг

Обновление WordPress, Drupal или Joomla не заменяет PHP.

Читать руководство

Устранение PHP2Shell в фреймворках и CMS ↗

Первоисточники и дополнительные материалы

PHP security teamSecurity advisory · 21 Oct 2026
CVE-2026-109618GHSA-w8hw-w9fx-j79w · OOM corruption
CVE-2026-109619GHSA-6wmf-4rv5-p3rp · Stale global state
Следующий шаг3. Перезапустите и проверьте всё ↗