1. 檢查
先確認 PHP 套件從哪裡來：RHEL 的 php 套件或模組串流（例如 php:8.2），還是 remi 套件庫。兩者處理方式不同。
dnf list --installed 'php*'
dnf module list --enabled php再查這個套件是否已含修補：changelog 裡出現 CVE 編號就是已修。
註：CVE 編號
- CVE 編號（CVE）
- 這次是 CVE-2026-109618 與 CVE-2026-109619。外洩貼文曾把分數寫成 10.0，官方 CVSS v4.0 是 9.2。
rpm -q --changelog php-common | grep -m1 CVE-2026-109618Red Hat CVE 頁的狀態（RHSB-2026-013，2026-10-21 公開）：
| 產品 | 套件 | 狀態 | 勘誤（發布時間 UTC／台灣時間） |
|---|---|---|---|
| RHEL 10 | php | Fixed | RHSA-2026:87070（10-21 20:11／10-22 04:11） |
| RHEL 10 | php8.4 | Fixed | RHSA-2026:87071（10-21 20:10／10-22 04:10） |
| RHEL 9 | php:8.2 | Fixed | RHSA-2026:87072（10-21 20:35／10-22 04:35） |
| RHEL 9 | php:8.3 | Fixed | RHSA-2026:87079（10-21 20:36／10-22 04:36） |
| RHEL 9 | php | Fixed | RHSA-2026:87151（10-21 20:06／10-22 04:06） |
| RHEL 8 | php:8.2 | Fixed | RHSA-2026:87073（10-21 20:30／10-22 04:30） |
| RHEL 8 | php:7.4 | Fixed | RHSA-2026:87080（10-21 15:53／10-21 23:53） |
| RHEL 9 | php:8.4/php | Affected | 尚無勘誤 |
| RHEL 7 | php | Under investigation | 尚無勘誤 |
| RHEL 6 | php | Under investigation | 尚無勘誤 |
Rocky Linux 與 AlmaLinux
兩者都會跟著 RHEL 重建上表的修補套件（AlmaLinux 的版號帶 .alma）。更新方式和 RHEL 相同；用上面的 changelog 指令確認有沒有拿到，比看勘誤編號可靠。RHEL 沒有修補的模組串流（例如 RHEL 8 的 php:7.2、php:8.0），重建版也不會有。
remi 套件庫
remi 在 2026-10-22 發布 8.2.35、8.3.36、8.4.27、8.5.12，涵蓋 Enterprise Linux 8 以上（remi-modular 模組，以及 remi-safe 的平行安裝套件 php82～php85）。8.1 以前 remi 沒有發布修補，見舊版本策略。
2. 更新
sudo dnf upgrade --refresh 'php*'sudo dnf upgrade --refresh 'php83*'上表狀態仍是 Affected 或 Under investigation 的組合，目前沒有修補可裝：先套暫時緩解、考慮暫時不直接對外，並換到有修補的版本或自行編譯。
3. 重啟
sudo systemctl restart php-fpm
sudo systemctl restart httpd所有 php-fpm 服務都要重啟，讓每一支 worker 都換成新程式。
註：php-fpm、worker
- php-fpm（PHP-FPM）
- 以獨立行程池處理請求的常見跑法。基金會確認經應用層路徑可以 RCE。官方沒有把 PHP-FPM 寫成安全，只是沒有把它排在 mod_php 前面。
- worker
- 處理網頁請求的 PHP 行程。同一支 worker 接下一個請求時，可能在正常初始化把殘留狀態清掉之前就用到它。修補後要重啟所有 worker。
4. 驗證
- 再跑一次第 1 步的 changelog 指令，要找得到 CVE 編號。
- 向正在接流量的那一支 PHP 確認，不只看命令列，見我受影響嗎？。
來源
查詢日期：。官方公告優先列出；內容如與 PHP 官方公告不一致，以官方公告為準。