修補：RHEL／Rocky／Alma

Red Hat 的 CVE 頁與公報沒有寫出 dnf 或 yum 指令，也沒有列出 rpm 版號。本站不代寫指令、不補版號；以 RHSA 勘誤為準。

1. 檢查

先確認網站真正在用的 PHP，見我受影響嗎？：

php -v

再確認套件來源：是 RHEL 的 php 套件或模組串流（例如 php:8.2），還是 remi 套件庫。兩者的處理方式不同。

Red Hat CVE 頁在查詢當下的狀態（RHSB-2026-013 公開於 2026-10-21 13:38、更新於 23:04，頁面未標時區）：

Rocky Linux 與 AlmaLinux

查詢當下，本站沒有找到 Rocky Linux 或 AlmaLinux 針對這兩個 CVE 的官方勘誤頁，待查證。請到各自的勘誤公告確認對應 RHSA 的套件是否已發布；在確認之前，不要假設已經修好。

remi 套件庫當天沒有更新

PHP 官方公告寫明：依賴志工維護的 rpms.remirepo.net 的主機，該套件庫當天不會更新，請改用發行版套件或自行編譯。本站查詢時也沒有找到 remi 事件之後的正式修補公告；2026-10-09 的 RC 測試庫文章不是這次的正式修補，不要拿那裡的版號或測試庫來用。

你的選項：

1. 改用 RHEL（或 Rocky、Alma）官方套件中已修補的版本。
2. 有能力維護建置的團隊，自行編譯官方修補版。
3. 兩者都做不到之前，先套官方暫時緩解，並考慮暫時不直接對外。

2. 更新

• RHEL：依你的版本與模組串流，套用上表的 RHSA 勘誤。狀態仍是 Affected 或 Under investigation 的組合，目前沒有勘誤可裝，改用緩解並追蹤 CVE 頁。
• Rocky、Alma：以各自發布的勘誤為準。
• remi：見上一節，不要等。

3. 重啟

套用勘誤後，重啟所有 php-fpm 與 Apache（httpd）服務，讓每一支 worker 都換成新程式。

4. 驗證

• 確認已安裝的 PHP 套件就是 RHSA 勘誤所帶的版本（或更新）。
• 向正在接流量的那一支 PHP 確認，不只看命令列。
• 從 remi 換到發行版套件的主機，確認 remi 的 PHP 已經不在網頁伺服器的路徑上。