版本矩陣
| 分支 | 官方給了什麼 | 該怎麼做 |
|---|---|---|
| 8.5 | 8.5.12（含 Windows binary） | 升級到 8.5.12 以上，並重啟所有 worker。 |
| 8.4 | 8.4.27（含 Windows binary） | 升級到 8.4.27 以上，並重啟所有 worker。 |
| 8.3 | 8.3.36（含 Windows binary） | 升級到 8.3.36 以上，並重啟所有 worker。 |
| 8.2 | 8.2.35（含 Windows binary） | 升級到 8.2.35 以上，並重啟所有 worker。 本分支安全支援到 2026-12-31，修完仍要排程離開。 |
| 7.4、8.0、8.1 | 最小化原始碼回移植，沒有新的官方安裝包 | 優先用發行版或 LTS 廠商的回移植套件；見 舊版策略 |
| 7.3 以前（含 5.x） | 沒有官方修補 | 升級到仍受支援且已修補的分支；部分廠商（例如 Ubuntu Pro）另有修補，先確認套件來源。完成前不要直接對網際網路開放 |
發行版套件的版號可能不是上表的 php.net 版號，仍可能已經回移植修補，以該發行版的安全公告為準。程式碼被認為可回溯到 5.4.0，但並非每一個歷史版號都經過逐一驗證。
研究團隊官網另說，受影響版本可追溯到 PHP 5.4，修補前幾乎每個 PHP 版本都至少中一個問題。這是研究團隊說法。 上表是 PHP 官方仍在發布修補的分支。官方沒有「自 5.4 起每一個版號都已驗證」的清單，也另為 7.4、8.0、8.1 提供最小化原始碼回移植。不要用那句話改這張表。
註：回移植
- 回移植
- 發行版不升級大版本，只把安全性修補搬回舊版套件。7.4、8.0、8.1 這次有官方最小化原始碼回移植，沒有新的官方安裝包。確認時要看發行版安全公告，不要只對 php.net 版號。
受影響 SAPI 風險排序
- Apache mod_php官方明確最高
- PHP-FPM官方列入，必須更新
- php-cgi官方列入，必須更新
- FrankenPHP官方列入，必須更新
- LiteSpeed官方列入，必須更新
官方點名所有服務網頁請求的安裝。mod_php 以外的項目，官方沒有再分第二名、第三名；PHP-FPM 已確認可經應用層路徑 RCE，不要降級看待。控制台、廠商設備或 Windows 軟體內建的 php.exe、php-cgi.exe 也要盤點。
命令列的 php 不在官方「服務網頁請求」那句的主詞裡，但官方也沒有保證命令列絕對無關。盤點時以「會不會被網頁請求碰到」為準。
來源
查詢日期：。官方公告優先列出；內容如與 PHP 官方公告不一致，以官方公告為準。