PHP高危漏洞php2shell：宝塔面板三步升级实战

10 月 21 日，PHP 官方紧急发布了 4 个修复版本，代号 php2shell 的两个远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619）随之曝光：CVSS 评分都是 9.2，无需登录即可远程执行任意代码，PoC 已经在全网流传，国家网安通报中心和 CNVD 相继发布预警，多个国家的网站出现大规模紧急下线。国内站长大都通过宝塔面板管理服务器，这篇文章就讲清楚：宝塔面板上怎么查、怎么升、怎么验证。

先搞清楚影响范围

受影响版本覆盖很广：8.2.35 之前的 8.2.x、8.3.36 之前的 8.3.x、8.4.27 之前的 8.4.x、8.5.12 之前的 8.5.x，PHP 8.1 及更老版本已停止官方支持，同样在风险之列。漏洞出在 PHP 解释器内核的内存管理上，与你的网站代码写得好不好没有任何关系——所有以 PHP 方式对外提供服务的运行模式（FPM、mod_php、cgi、LiteSpeed）都可能中招，安全研究显示存在至少 5 条独立攻击链，其中针对 mod_php 的一条甚至不需要应用存在任何其他漏洞，一个恶意请求就够。

第一步：查当前版本

登录宝塔面板，首页就能看到当前 PHP 版本号；更准确的做法是进入【软件商店】→【已安装】，查看正在运行的 PHP 具体小版本。想精确到站点级别，可以在任一站点根目录放一个包含 phpinfo() 函数的探针文件访问确认，或者 SSH 上去执行 php -v。对照上面的安全版本清单，低于 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 的都算中招。

第二步：升级或切换到安全版本

宝塔的常规做法是在【软件商店】找到对应 PHP 版本，点【设置】→【升级】把小版本补到修复版以上；如果你的分支太老没有推送，直接安装新分支（比如从 7.4 换到 8.2）。注意两件事：一是升级前在面板做一次快照或备份，二是老版本常用的扩展（比如 ionCube、SG11 这类加密扩展）在新分支未必有对应包，先确认站点代码不依赖再切。8.1 及以下的老站点别再原地等待了，PHP 官方虽然给了 7.4/8.0/8.1 的最小源码补丁，但需要自行编译，对多数人不如直接升 8.2/8.3 现实。

升级技巧：多版本共存，灰度切换

宝塔支持多个 PHP 版本并存，这是这次事件里最好用的特性：先把新分支装好，拿一个流量小、功能简单的站点当金丝雀切过去，跑上半天确认功能正常、错误日志干净，再批量切主力站点。万一某个站点在新分支上出问题，随时可以单独切回旧分支，不影响其他已升级的站点。切完之后，把确认不用的旧版本从面板里停用甚至卸载——留着的每一个闲置 PHP，都是一个要跟着打补丁的负担。

第三步：切换站点并验证

PHP 升级后并不会自动作用于站点，要进【网站】→【设置】→【PHP版本】逐个切到已升级的分支，然后重启 PHP-FPM。验证三件事：phpinfo 探针显示的版本号已是修复版；站点前台后台功能正常，特别是带文件上传的表单；观察一两天 FPM 进程没有异常崩溃。最后别漏了日志：如果升级前就有异常 POST 请求和莫名其妙的进程，补丁可不会帮你清除已经发生的入侵，该排查排查、该重装重装。

写在最后

面板推送有延迟，安全事件里的时间窗是以小时计的，当天能升就不要拖到下周。升级之外，把这次当成一次体检：查一遍服务器上所有 PHP 运行环境、关掉用不上的版本，比每次出事再救火从容得多。