Remote code execution vulnerabilities are found on PHP. New PHP security updates are available. All PHP users are strongly encouraged to update immediately.
Read more details on https://www.php.net/archive/2026.php#2026-10-21-5
How to Upgrade
PHP 8.2 and newer
Upgrade it via your software source.
Debian / Ubuntu:
apt update
apt upgradeRHEL / AlmaLinux / Rocky Linux / Oracle Linux:
dnf upgradeEnsure your configured repositories provide the patched PHP packages. Distribution-maintained packages may contain backported fixes without matching the upstream version number.
PHP 8.1 and older
For Debian-based systems, security-patched packages may be available through the Sury PHP repository:
https://packages.sury.org/php/
For Ubuntu, use the corresponding PPA:
https://launchpad.net/~ondrej/+archive/ubuntu/php
After configuring the appropriate repository, run:
apt update
apt upgradeWe strongly recommend migrating to a supported PHP version as soon as possible.
Docker-Based PHP Installations
If you use official PHP Docker images, pull the updated image and recreate your PHP containers.
For Docker Compose deployments:
docker compose up --pull always --force-recreate -d
Make sure your image tag resolves to a patched PHP release.
If you are unable to upgrade...
1. Apply measures to reduce attack surface. Refer to https://www.php.net/archive/2026.php#2026-10-21-5 for more details.
2. Put a CDN in front of your website, e.g. Cloudflare and Akamai, which provide WAF rules to help filter malicious requests.
Important: CDN and WAF protection cannot fully mitigate these vulnerabilities and must not be considered a replacement for PHP security updates.
If you need assistance, please open a support ticket.
------
PHP 被發現存在遠端程式碼執行（Remote Code Execution，RCE）安全漏洞，目前已有新的 PHP 安全更新推出。我們強烈建議所有 PHP 用戶立即更新，以降低網站及伺服器遭受攻擊的風險。
官方公告及詳細資料：https://www.php.net/archive/2026.php#2026-10-21-5
如何升級
PHP 8.2 或以上版本
請透過系統現有的軟件套件來源（Repository）進行更新。
Debian / Ubuntu：
apt update
apt upgradeRHEL / AlmaLinux / Rocky Linux / Oracle Linux：
dnf upgrade請確保目前設定的軟件套件來源已提供包含安全修補的 PHP 套件。
部分 Linux 發行版本可能會將安全修補程式移植（Backport）至現有 PHP 版本，因此套件版本號碼未必與 PHP 官方最新版本完全一致。
PHP 8.1 或以下版本
對於已終止官方支援（End-of-Life，EOL）的 PHP 版本，部分第三方軟件套件庫可能仍會提供安全修補更新。
Debian 系統：
可透過 Sury PHP Repository 安裝安全修補套件（如有提供）：
https://packages.sury.org/php/
Ubuntu 系統：
可使用 PHP PPA：
https://launchpad.net/~ondrej/+archive/ubuntu/php
設定好相應的軟件套件來源後，執行：
apt update
apt upgrade請注意，第三方套件庫未必會為所有舊版 PHP 提供安全修補。
我們強烈建議所有仍使用舊版 PHP 的用戶，盡快升級至官方仍然支援的 PHP 版本。
使用 Docker 運行 PHP
如果你使用 PHP 官方 Docker Image，請拉取最新映像檔，並重新建立 PHP Container，以套用安全更新。
Docker Compose：
docker compose up --pull always --force-recreate -d請確保目前使用的 Docker Image Tag 已包含最新 PHP 安全修補版本。
如果暫時無法升級 PHP
1. 更改 PHP 設定文件，請參考 https://www.php.net/archive/2026.php#2026-10-21-5
2. 為網站啟用 CDN，例如 Cloudflare 或 Akamai。
這些 CDN 服務提供 WAF（網站應用程式防火牆）功能，可透過安全規則協助過濾惡意請求，減低網站受到攻擊的風險。
如果閣下需要協助，請提交服務單。
Wednesday, October 21, 2026
