标签 php-8.2.35 对应的提交哈希值为 09a9f29，该提交已被标记为已验证（Verified）。用户 saundefined 手动创建了此发布标记，标注为 Tag for php-8.2.35，页面同时提供对比（Compare）入口。资产（Assets）区域显示共有 2 个资产文件，分别为 Source code (zip) 和 Source code (tar.gz) 两种源码压缩包格式，可供用户直接下载。

php/php-src 的发布页面显示版本 php-8.2.35，对应标签为 php-8.2.35，提交为 09a9f29，已验证，并带有比较入口。该发布由 saundefined 标记。

资源共有 2 项： - 源代码（zip） - 源代码（tar.gz）

社区气氛紧张但务实：多数人把这次 PHP 安全发布当作需要立刻处置的关键 RCE（常被称为 PHP2Shell，并有 Wiz、Calif、OpenAI 等协同披露的背景），一边追问发行版补丁，一边交换临时缓解方案。分歧主要落在漏洞在常见 Linux/FPM 场景下究竟有多容易触发，以及本次 php-src 标签/版本号是否出现了失误。

认为严重程度取决于 SAPI 与具体配置

• 两个漏洞在 modphp 上都确认可 RCE；FPM 的已验证路径更窄，通常需要 session.uploadprogress 打开，或前端会传 PHPVALUE / PHPADMIN_VALUE，很多利用还要经过 multipart 解析（较多人）。

质疑内存耗尽型漏洞在 Linux 上真能触发

• 有人注意到补丁大量增加了 malloc 失败检查和测试，但怀疑在 Linux overcommit 机制下这条路径未必可达，除非尝试单次极大分配（少数人）。 > 他们到处加了 malloc 失败检查和测试，可这在 Linux 的 overcommit 下真能触发吗？也许只能靠一次极大的分配？（@cowlevel）

怀疑本次发布流程或版本号有误

• 有人发现 php-src 上的修复提交提示“不属于任何分支”，官网新闻与 GitHub 列表里的版本号也对不上，例如一边列 8.3.35、另一边列 8.3.36，担心至少是发布操作失误或官网笔误（少数人）。 > 这个提交不属于仓库任何分支，今天这种日子格外让人警惕，看起来至少是把发布搞砸了。（@ytxm）

更着急发行版和托管面板何时推送补丁

• 讨论里大量问题集中在 ondrej/php、Ubuntu LTS、Amazon Linux 2023 的更新时间；有人反馈 Debian trixie 已推送，Ubuntu LTS 还没收到，Laravel Forge 则因大量用户同时更新而几乎无响应（较多人）。 > 到目前为止 Ubuntu LTS 还没通过 apt update 收到新包，Laravel Forge 因为被同时涌进来的人挤爆而完全无响应。（@dstu）

认为补丁到位前应主动断流甚至下线站点

• 有站长直接把 PHP 站点下线几小时，信奉“不运行就不会被攻破”；也有人建议在无法立刻升级时用反向代理或在 Web 服务器层直接拒绝 multipart 请求体来换时间（少数人）。 > 我把所有 PHP 站点下线了几小时；虽说前面有 Cloudflare，但不运行的基础设施才不会被攻破！（@bstsb）

有价值的补充

• 一份等待发行版补丁时的加固清单：关闭 session.uploadprogress.enabled，并在 FPM pool 用 phpadminflag 固定，防止目录级配置改回；在 Nginx/Apache/Caddy 层对 multipart/form-data 直接返回 403；确认 SAPI 是否为 modphp；FPM 池可临时设 pm.maxrequests = 1，让每个 worker 只服务一个请求后退出，打断“生产者/消费者”落在同一 worker 的利用链；按公告调低 maxinputnestinglevel 与 postmaxsize；顺手清理 uploads 目录的 .php 解析和残留 phpinfo.php。（整理自 @bombcar）
• 对无法立刻升级的环境，有人给出可在边缘消除威胁的反向代理 Qbix/proxy，也有人做了 php2shell-repo-audit 这类 CLI 工具来批量列出仓库需要采取的升级/检查步骤。（@EGreg、@Amsozzer）
• 官方公告为 PHP 7.4、8.0、8.1 也提供了最小源码回补；本次涉及 CVE-2026-109618、CVE-2026-109619（对应 GHSA-w8hw-w9fx-j79w 与 GHSA-6wmf-4rv5-p3rp），修复版本已在 php-src GitHub 放出，相关 GHSA 公告与修复提交也已公开，版本号包括 8.2.35、8.3.36、8.4.27、8.5.12。（@petecooper、@tuyuri、@tux3、@charcircuit）
• 有人翻出 php.net 存档，问以前是否见过“明天准备安全发布”的预告邮件，暗示这次的提前预警并不常见。（@dmtroyer）