Magento Open Source / Adobe Commerce PHP2Shell 修复指南 - PHP 兼容与升级

Magento Open Source / Adobe Commerce 网站修复 PHP2Shell，需要修补实际运行的 PHP 解释器。应用版本用于识别兼容障碍，不能单独证明网站可被利用，也不能证明两个 CVE 已修复。

CVE-2026-109618 ↗CVE-2026-109619 ↗

Magento Open Source / Adobe Commerce - 修复 PHP2Shell 要核对哪些 PHP 兼容版本

发布版本样本	声明的 PHP 要求	声明允许的补丁候选	原始来源
2.4.8	`~8.2.0\|\|~8.3.0\|\|~8.4.0`	8.4.27 8.3.36 8.2.35	raw.githubusercontent.com ↗
2.4.7	`~8.1.0\|\|~8.2.0\|\|~8.3.0`	8.3.36 8.2.35	raw.githubusercontent.com ↗
2.4.6	`~8.1.0\|\|~8.2.0`	8.2.35	raw.githubusercontent.com ↗
2.4.5	`~7.4.0\|\|~8.1.0`	这些补丁基线均不匹配 ↗	raw.githubusercontent.com ↗
2.4.4	`~7.4.0\|\|~8.1.0`	这些补丁基线均不匹配 ↗	raw.githubusercontent.com ↗

候选仅将该声明与受支持分支的首个 PHP2Shell 修复版本比对，不代表已经通过兼容测试、仍有厂商支持或全部依赖均匹配。修复 PHP2Shell 要核对哪些 PHP 兼容版本 ↗

确认 PHP2Shell 修复范围

文件与软件包身份

magento/product-community-edition

composer.lock
app/etc/config.php
app/code/

Magento Open Source / Adobe Commerce - 排除 PHP2Shell 修复中的兼容障碍

Magento 与 Adobe Commerce 要核对准确产品、补丁后缀及系统要求表，而不只看 Composer。搜索、数据库、缓存和消息队列版本都可能阻挡升级。审查自定义模块与索引器，构建经过测试的部署产物，按官方维护流程切换。重新开放订单前验证金额、异步订单和支付回调。

需要排查的依赖与二次开发

magento/product-community-edition
magento/product-enterprise-edition
OpenSearch / Elasticsearch
MariaDB / MySQL
RabbitMQ
Redis / Valkey
app/code/
indexer:status

官方升级文档 ↗Magento Open Source / Adobe Commerce - 修复 PHP2Shell 要核对哪些 PHP 兼容版本 ↗

PHP2Shell 修复后的业务验收

修复 PHP2Shell 前的只读盘点

在授权的工作副本中操作。

命令示例

php -v
php --ini
composer --no-plugins show --locked magento/product-community-edition
composer --no-plugins check-platform-reqs --lock
composer --no-plugins prohibits php 8.3.36 --locked

Magento Open Source / Adobe Commerce - 核实 PHP2Shell 修复

在真正承载本站请求的 PHP 中核实两个 CVE 的补丁。替换或重启旧 Web 工作进程、队列进程和全部副本。首页能打开或 CLI 版本变新，都不足以证明修复完成。

3. 重启并验证所有实例 ↗

官方升级文档

Magento Open Source / Adobe Commerce原始来源 ↗PHP security team原始来源 ↗CVE-2026-109618原始来源 ↗CVE-2026-109619原始来源 ↗修复 PHP2Shell 时的 PHP 升级报错排查↗