Laminas / Zend Framework PHP2Shell 修复指南 - PHP 兼容与升级

Laminas / Zend Framework 网站修复 PHP2Shell，需要修补实际运行的 PHP 解释器。应用版本用于识别兼容障碍，不能单独证明网站可被利用，也不能证明两个 CVE 已修复。

CVE-2026-109618 ↗CVE-2026-109619 ↗

Laminas / Zend Framework - 修复 PHP2Shell 要核对哪些 PHP 兼容版本

发布版本样本	声明的 PHP 要求	声明允许的补丁候选	原始来源
3.6.1	`~8.0.0 \|\| ~8.1.0 \|\| ~8.2.0`	8.2.35	repo.packagist.org ↗f12e801c31c0
3.7.0	`~8.1.0 \|\| ~8.2.0 \|\| ~8.3.0`	8.3.36 8.2.35	repo.packagist.org ↗3f65447addf4
3.8.0	`~8.1.0 \|\| ~8.2.0 \|\| ~8.3.0 \|\| ~8.4.0`	8.4.27 8.3.36 8.2.35	repo.packagist.org ↗53ba28b7222d

候选仅将该声明与受支持分支的首个 PHP2Shell 修复版本比对，不代表已经通过兼容测试、仍有厂商支持或全部依赖均匹配。修复 PHP2Shell 要核对哪些 PHP 兼容版本 ↗

确认 PHP2Shell 修复范围

文件与软件包身份

laminas/laminas-mvc

composer.lock
config/modules.config.php
module/

Laminas / Zend Framework - 排除 PHP2Shell 修复中的兼容障碍

Zend 老项目可能属于 ZF1、ZF2 或 ZF3，并混用独立组件。表格只描述 laminas-mvc 样本，不能推导全部 Zend 兼容性。在副本中使用迁移工具前清点命名空间、ServiceManager factories 和模块配置。停止维护的第三方模块单独处理，迁移后验证 API、会话和服务构造。

需要排查的依赖与二次开发

Zend\*
laminas-migration
ServiceManager
config/modules.config.php
MVC
laminas-*

官方升级文档 ↗

PHP2Shell 修复后的业务验收

修复 PHP2Shell 前的只读盘点

在授权的工作副本中操作。

命令示例

php -v
php --ini
composer --no-plugins show --locked laminas/laminas-mvc
composer --no-plugins check-platform-reqs --lock
composer --no-plugins prohibits php 8.3.36 --locked

Laminas / Zend Framework - 核实 PHP2Shell 修复

在真正承载本站请求的 PHP 中核实两个 CVE 的补丁。替换或重启旧 Web 工作进程、队列进程和全部副本。首页能打开或 CLI 版本变新，都不足以证明修复完成。

3. 重启并验证所有实例 ↗

官方升级文档

Laminas / Zend Framework原始来源 ↗PHP security team原始来源 ↗CVE-2026-109618原始来源 ↗CVE-2026-109619原始来源 ↗修复 PHP2Shell 时的 PHP 升级报错排查↗