宝塔 PHP 修复 PHP2Shell：更新面板不等于更新 PHP

宝塔用户受 PHP2Shell 影响吗？

很可能需要检查。宝塔网站常见的是 Nginx + PHP-FPM，PHP 官方明确说 FPM 部署同样需要更新，不能因为用了 Nginx 就排除。只要网站绑定的 PHP 低于所在分支的修复版本，就在受影响范围内：

为什么用 apt、yum 升级 PHP 可能没用？

宝塔的 PHP 由面板自己安装和管理，和系统包管理器安装的 PHP 通常是两套东西。用 apt upgrade 或 yum update 升级的是系统那套，网站一般还在用宝塔那套。同理，更新宝塔面板本身也不等于更新了 PHP。

宝塔发布 PHP2Shell 修复了吗？

截至本站核实时：

• 本站没有核实到宝塔官方发布的 PHP2Shell 修复构建或面板内更新步骤；
• 论坛里有用户问“宝塔能不能第一时间更新”，宝塔版主回复让大家关注官方消息，“有消息第一时间跟进”，没有给出时间和操作路径；
• 论坛里流传的“宝塔中如何修复”帖子是普通用户发的，相关章节是空的。

所以本站不提供猜测的按钮路径。宝塔的修复构建版本和更新步骤目前未核实，请以宝塔官方公告为准，本页核实到新消息后会更新。

等宝塔更新期间能做什么？

1. 确认网站绑定的 PHP：在网站设置里看这个网站用的 PHP 分支；小版本用 WordPress 站点健康确认，再填进 PHP 版本检测 判断。
2. 做临时缓解：在该 PHP 版本的配置文件里关闭 session.upload_progress.enabled，保存后重启该 PHP 服务。宝塔官方说明可以在“软件商店 → 已安装的 PHP → 设置 → 配置文件”修改配置并重启。注意这只能挡住部分攻击路径，不是修复，详见 临时缓解。
3. 考虑暂停网站：有用户数据、支付的网站，或用老 PHP 的，可以先在 Nginx 层返回维护页，或只允许固定 IP 访问。WordPress 的维护模式插件挡不住，因为它在 PHP 已经开始处理请求之后才生效。
4. 开着宝塔的防火墙也要升级：防火墙能挡部分已知请求，但改变不了 PHP 本身的漏洞。

宝塔出修复版本后怎么升级？

原则是三步，具体按钮以宝塔官方公告为准：

1. 在宝塔里把网站用的 PHP 升级到修复版本（或安装修复版本后把网站切换过去）；
2. 重启对应的 PHP 服务，让旧进程退出；
3. 用 WordPress 站点健康或面板里该网站绑定的 PHP 确认版本已达到修复版本；在服务器上用宝塔那套 PHP 的路径运行 php -v 只能作参考，命令行和网站可能不是同一个 PHP。

不要卸载正在给网站用的 PHP 再重装，先备份网站和配置。

宝塔里的老 PHP（5.6、7.x）怎么办？

PHP 官方没有为老分支发新版本，只给 7.4、8.0、8.1 提供了最小源码回移补丁，需要自己打补丁重新编译；5.6、7.0 到 7.3 不在其中。宝塔会不会为老分支出修复构建，本站没有核实到官方信息。能迁移到 8.2 以上就尽量迁移，迁不动的先限制访问。见 PHP 停止维护版本。

1Panel 用户呢？

1Panel 的 PHP 运行环境用的是 1Panel 官方的 1panel/php 镜像。截至本站核实时，Docker Hub 上的标签列表里还没有修复版本的标签。处理思路和 Docker 一样，见 Docker PHP 镜像。

可以让别人登录宝塔帮我修吗？

谨慎。不要把宝塔面板、服务器、数据库的账号密码发给陌生人、私信里的“技术支持”或聊天工具。社交平台上有人传“把漏洞编号丢给 AI、再提供账号密码就能修”，这和把钥匙交给陌生人没有区别。

升级后建议做一次 网站被黑检测，其他环境回到 PHP2Shell 检测。

依据哪些来源？

• 宝塔：常见问题汇总
• 宝塔论坛：关于 PHP2Shell 核心级 RCE 漏洞（用户帖）
• 宝塔论坛：PHP 安全更新讨论（含版主回复）
• 1Panel 官方 PHP 镜像标签
• The PHP Group：PHP 安全公告
• WordPress.org：站点健康