Ubuntu 与 Debian
确认 php*-common 和实际 Web 处理器的软件包，分别查看 Ubuntu 或 Debian 对两个 CVE 的记录。下方命令以 PHP 8.3 举例，应替换成实际分支。确认已启用仓库提供修复包后再升级。changelog 缺失或未提及 CVE 时，应查厂商公告，不能把没有记录当作安全。
发行版版本号与补丁回移植
Ubuntu、Debian 和企业 Linux 常保留旧的上游版本号，通过软件包修订加入安全补丁。仅看到 8.3.6，既不能证明受影响，也不能证明已修复。须同时匹配系统版本、软件源、架构、已安装修订和两个 CVE 的厂商状态。本工具不编造包修复门槛。
3. 重启并验证所有实例
新文件不会自动替换内存中的旧工作进程。mod_php 需要重启 Apache，FPM 需重启对应服务及进程池，也要重启常驻队列和计划任务。检查服务启动时间、Web 实际版本、包修订、健康状态和每个负载均衡副本。临时诊断页用完立即删除，切勿公开保留 phpinfo()。
命令示例 / DEBIAN
shell
dpkg-query -W -f='${Package} ${Version}\n' 'php*-common'
apt-cache policy php8.3-common php8.3-fpm
# Search your installed package's security changelog.
zgrep -Ei 'CVE-2026-109618|CVE-2026-109619' \
/usr/share/doc/php8.3-common/changelog.Debian.gz命令示例 / APT
shell
sudo apt update
apt list --upgradable
# Example: installed PHP 8.3 packages; use your actual branch.
sudo apt install --only-upgrade php8.3-common php8.3-fpm php8.3-cli
sudo systemctl restart php8.3-fpm
systemctl status php8.3-fpm --no-pager一手来源与延伸阅读
PHP security teamSecurity advisory · 21 Oct 2026
CVE-2026-109618GHSA-w8hw-w9fx-j79w · OOM corruption
CVE-2026-109619GHSA-6wmf-4rv5-p3rp · Stale global state
Ubuntu security trackerCVE-2026-109618 · Distribution package status
Debian security trackerCVE-2026-109618 · Distribution package status