修補：Debian

本站在 2026-10-22 查詢時，debian.org 的 DSA／DLA 公告郵件被驗證頁擋住，沒有讀到官方「請升級」那一句正文。下面的版號來自安全追蹤頁；Debian 官方的升級指令待查證，本站不代寫。

1. 檢查

先找出網站真正在用的 PHP 分支與套件，見我受影響嗎？。命令列的版本只是起點：

php -v

再拿已安裝的套件版本對照安全追蹤頁：

php8.3 的 DSA：查詢當下未找到官方資訊，待查證。

Sury 套件庫

不少主機用 Ondřej Surý 維護的第三方 Sury 套件庫裝較新的 PHP 分支。那是 Debian 官方以外的套件來源，上面的 DSA／DLA 不涵蓋它。本站查詢時沒有找到 Sury 針對這兩個 CVE 的公告，狀態待查證：請直接到該套件庫確認是否已發布含修補的套件；確認不了，就改用 Debian 官方套件或自行編譯。

2. 更新

依你的套件來源，把 PHP 相關套件更新到上表的修補版或更新版：

• Debian 官方套件：從 security 套件庫取得 DSA／DLA 列出的版本。DSA 正文未讀到，官方指令待查證。
• Sury：確認該庫已出修補版之後才更新；沒有就不要以為已經修好。
• 8.1 以前：見舊版本策略。

3. 重啟

裝好套件之後，重啟所有 php-fpm 與 Apache 服務（用 mod_php 時是 Apache），讓每一支 worker 都換成新的程式。服務名稱依你安裝的套件而定。只 reload 一部分、或滾動更新留下舊 worker，等於還沒修完。

4. 驗證

• 再查一次已安裝的套件版本，確認等於或新於上表的修補版。
• 向正在接流量的那一支 PHP 確認版本（PHP-FPM 執行檔的 -v、Apache 載入的模組），不只看命令列。
• 若緩解期間把 memory_limit 設成 -1，修補後改回應用真正需要的上限。