PHP Oct 2026 Security Check

用下面的檔名存檔並上傳。它只印出正在跑的 PHP 版本和幾項設定，不寫入任何檔案。查完就刪掉。

<?php
header('Content-Type: application/json; charset=UTF-8');
header('Cache-Control: no-store');
if (!isset($_GET['t']) || !is_string($_GET['t']) || !hash_equals('7c2cf20fb2cf29d8', $_GET['t'])) {
    header('HTTP/1.0 404 Not Found');
    exit;
}
$os = '';
$fh = @fopen('/etc/os-release', 'rb');
if ($fh) {
    $os = fread($fh, 400);
    fclose($fh);
}
echo json_encode(array(
    'probe' => 'yctin-php-patch-check',
    'php_version' => PHP_VERSION,
    'version_id' => PHP_VERSION_ID,
    'sapi' => php_sapi_name(),
    'memory_limit' => ini_get('memory_limit'),
    'fatal_error_backtraces' => ini_get('fatal_error_backtraces'),
    'session_upload_progress' => ini_get('session.upload_progress.enabled'),
    'os_release' => $os,
));

2. 批次檢查

「已修補」只在檢查檔的每一次回應都是 8.2.35、8.3.36、8.4.27、8.5.12 或同系列更新時出現。8.1 與更舊的版本不在這次修補名單。

memory_limit、fatal_error_backtraces、session.upload_progress.enabled 只寫在說明裡，不算已修復。

回應標頭裡的版本不算通過。標頭可以關掉，沒重啟的 worker 也不會出現在標頭裡。

五次請求仍可能碰不到閒置的舊 worker。升級後先重啟 PHP 再檢查。一次最多 15 個網址。內網位址不會連線。

PHP Oct 2026 Security Check

檢查網址上正在回答的 PHP 是否已包含 2026 年 10 月的兩個修補。

1. 上傳檢查檔

2. 批次檢查