PHP 在2026年10月21日发布安全公告，8.5.12、8.4.27、8.3.36 和 8.2.35 修复了两个可导致未认证远程代码执行的严重漏洞，编号为 CVE-2026-109618 与 CVE-2026-109619。使用受影响版本处理 Web 请求的部署需要核对更新，官方认为 mod_php 的风险最高（PHP 安全公告）。
OpenAI 随后提供了两项 Codex 技能，帮助站长检查 PHP 版本。它们只辅助判断版本与补丁状态，不能据此确认漏洞可被利用，也不能证明网站整体安全（项目说明）。
先在 Codex 中安装
下面三段文本都填写在支持 Skills 的 Codex 客户端对话输入框，保留开头的 $。这是技能调用写法，不要当作终端命令。以下示例来自官方说明。
先发送安装请求，等 Codex 完成安装。
$skill-installer install both skills from https://github.com/openai/php2shell-checker
确认 Codex 能识别 phpcheck-url 和 phpcheck-server，再继续。新技能通常会自动识别；若没有出现，可重启 Codex 后重试（Codex 技能安装说明）。URL 检查会运行 Node.js 脚本，需要 Codex 所在环境能执行 node。
按权限二选一
只有网站地址
将示例地址替换为你管理的网站地址，向 Codex 发送下面的请求。
$phpcheck-url check https://example.com
工具读取 Server 和 X-Powered-By 响应头，不跟随重定向。填写网站最终访问的 HTTPS 地址；隐藏版本号或无法取得版本时，结果可能为 UNKNOWN（项目说明）。
能访问站点服务器
在能访问实际站点运行环境的 Codex 会话中发送下面的请求。若会话无法访问服务器，先由运维提供实际 PHP 版本和完整软件包版本，再核对公告。
$phpcheck-server check the PHP version serving my site
从 php -v 查起，还要核对它是否对应站点使用的 PHP-FPM 或 Apache。本机命令行版本可能与网站运行版本不同，不能直接代用（服务器检查说明）。
看完结果，接下来做什么
| 结果与含义 | 下一步 |
|---|---|
OK 表示已列分支的稳定补丁版本高于工具内置界限 |
对照 PHP 或厂商安全公告，确认运行环境和补丁状态 |
VULNERABLE 表示版本处于工具标记的受影响区间 |
联系运维或托管商核对软件包补丁，安排更新；发行版回补需另查 |
UNKNOWN 表示缺少版本、响应，或版本不在可判断范围 |
查服务器实际运行版本，或向托管商确认；不能据此判断已修复 |
OK 依赖版本比较，并不独立验证修复效果。发行版可能给旧版本回补修复，所以还要查完整软件包版本和厂商公告（项目说明）。
PHP 8.1 及更早分支已结束上游常规维护，部分发行版或 LTS 厂商提供回补。PHP 项目也为 7.4、8.0、8.1 提供了本次漏洞的最小源码回补分支。仍在使用旧分支的站点，应向运维或托管商确认所用包是否包含修复。暂时无法升级时，可参照官方临时措施，但不能把缓解当作完整修复（PHP 安全公告）。