针对 CVE-2026-109618、CVE-2026-109619（PHP 未授权 RCE）。本目录只放源码补丁 .patch，不是完整安装包。
CentOS / RHEL / Rocky / AlmaUbuntuDebian 同一套 SSH 命令即可。脚本会识别系统，缺 curl、patch、gcc、make 时用 yum/dnf 或 apt 补上，并用宝塔的 php-fpm 脚本重启。
| 分支 | 补丁文件 | 打在哪套源码上 | 来源 |
|---|---|---|---|
| PHP 7.0 | php-70-CVE-2026-109618-109619.patch | 7.0.33 | 非官方回移 |
| PHP 7.1 | php-71-CVE-2026-109618-109619.patch | 7.1.33 | 非官方回移 |
| PHP 7.2 | php-72-CVE-2026-109618-109619.patch | 7.2.34 | 非官方回移 |
| PHP 7.3 | php-73-CVE-2026-109618-109619.patch | 7.3.33 | 非官方回移 |
| PHP 7.4 | php-74-CVE-2026-109618-109619.patch | 7.4.33 | PHP 官方最小缓解补丁 |
| PHP 8.0 | php-80-CVE-2026-109618-109619.patch | 8.0.30 | PHP 官方最小缓解补丁 |
| PHP 8.1 | php-81-CVE-2026-109618-109619.patch | 8.1.34 | PHP 官方最小缓解补丁 |
| PHP 8.2 | php-82-CVE-2026-109618-109619.patch | 8.2.34 → 8.2.35 | 官方修复提交 |
| PHP 8.3 | php-83-CVE-2026-109618-109619.patch | 8.3.35 → 8.3.36 | 官方版本对比补丁 |
| PHP 8.4 | php-84-CVE-2026-109618-109619.patch | 8.4.26 → 8.4.27 | 官方版本对比补丁 |
| PHP 8.5 | php-85-CVE-2026-109618-109619.patch | 8.5.11 → 8.5.12 | 官方版本对比补丁 |
7.0–7.3 官方已停止维护，补丁是按 7.4 官方补丁回移的。8.2–8.5 官方完整修复包含测试文件，打补丁时缺测试文件可以忽略，引擎源码必须打上。
每台机器用 root 复制对应 PHP 版本的命令。CentOS、Ubuntu、Debian 都用下面同一条。脚本会先把该版本 PHP 安装目录打成包放到 /root/php-cve-backup/，再打补丁、编译、重启 php-fpm。网站 Nginx 配置、php.ini 不会改。
有快照的机器，升级前再打一份整机快照更稳。宝塔若已删除 src，脚本会自动下载对应官方源码（例如 PHP 8.0 用 8.0.30），再用原来的编译参数配置后打补丁。