PHP 停止维护：7.4、8.0、8.1 和祖传项目怎么修 PHP2Shell

PHP 停止维护的版本受 PHP2Shell 影响吗？

要按受影响处理。研究方称至少有一个问题可以追溯到 PHP 5.4，也就是说过去十来年的 PHP 版本基本都要考虑。停止维护只代表官方不再常规发布更新，不代表漏洞不存在。

PHP 7.4、8.0、8.1 有没有 PHP2Shell 补丁？

分三种情况，不要混为一谈：

中文社区流传“官方只修 8.2 到 8.5，8.1 及以下完全没有补丁”，前半句对，后半句不准确：没有新的发行版，但有源码补丁。PHP 官方也明确说，这些补丁不代表恢复维护，也不代表所有更老的分支都有修复。

发行版自带的老 PHP 怎么办？

如果你的 PHP 来自 Ubuntu、Debian 官方源（而不是自己编译、PPA 或面板），先看发行版有没有发布修复包：

注意发行版的修复包版本号会保留老的 PHP 版本数字，比如显示还是 8.1，但包的修订号变了，这就是回移修复。按发行版的完整包版本判断，不要只看 php -v。详见 Ubuntu 升级 PHP。

祖传项目不敢升级怎么办？

“那些跑了十几年的项目，谁敢升级？”这是中文社区最常见的顾虑。按风险从低到高，有这几条路：

1. 先限制暴露：暂停对外服务，或只允许内网、固定 IP、VPN 访问。这不修漏洞，但能大幅降低被攻击的机会。
2. 打官方源码补丁重新编译：版本号不变，代码行为基本不变，兼容风险最小，但需要有人会编译、能维护构建流程。
3. 换用发行版或长期支持厂商的修复包：前提是你的 PHP 本来就来自那个发行版。
4. 迁移到受支持的分支：一劳永逸，但跨分支（比如 7.4 到 8.3）一般要改代码，必须先备份、在副本上测试。

临时撑几天，可以先做 临时缓解，但别把它当长期方案。

自己编译的 PHP 怎么修？

1. 从 PHP 官方下载入口 获取修复版本源码，老分支则按官方公告找到对应的源码补丁。
2. 按你原来的编译参数和扩展重新构建，不要换一套参数“顺便升级”。
3. 把新产物部署到真正处理网页请求的那个 PHP 上，重启所有 worker。
4. 记录源码版本、补丁来源、构建时间和部署到了哪些机器——打了回移补丁，版本号通常不会变，以后只能靠这些记录证明修过。

本站不提供通用的编译命令：每个人的编译参数、路径、扩展都不同，照抄命令反而容易出事。

宝塔、1Panel 里的 PHP 7.x 怎么办？

面板里的老 PHP 是面板方编译或打包的。截至本站核实时，本站还没有核实到宝塔的修复构建；1Panel 官方的 1panel/php 镜像在 Docker Hub 上也还没有修复版本的标签。面板方不出修复构建，就只能限制访问、等面板出修复版本后迁移过去，或自行编译。见 宝塔 PHP。

多久该迁移到新版本？

PHP2Shell 不会是最后一个漏洞。停止维护的分支以后再出问题，可能连源码补丁都没有。可以趁这次评估，把迁移到受支持分支排进计划。各版本的支持期限以 PHP 官方支持版本页 为准。

想确认现在的版本是否受影响，用 PHP2Shell 检测。

依据哪些来源？

• The PHP Group：PHP 安全公告
• The PHP Group：Supported Versions
• The PHP Group：下载入口
• The PHP Group：Unix 安装文档
• Wiz Research：PHP2Shell 原始研究
• Canonical：USN-8948-1
• 1Panel 官方 PHP 镜像标签