Ubuntu 升级 PHP 修复 PHP2Shell：版本号没变算修好了吗？

Ubuntu、Debian 的 PHP 修复 PHP2Shell 了吗？

已核实的发行版修复包如下（只适用于发行版官方源）：

表里没有的发行版和版本，不代表“没修”或“已修”，只代表本站还没核实到，请看对应发行版的安全公告。

为什么升级后 PHP 版本号还是旧的？

这是发行版的正常做法：它们不跟着 PHP 官方换大版本号，而是把安全补丁“回移”进原来的版本。所以 Ubuntu 24.04 的 PHP 升级后，php -v 可能仍显示 8.3 早期的小版本号，但包的修订号（类似 -0ubuntu0.24.04.x 后缀）变大了。

判断是否修好，要看完整的包版本是否不低于发行版公告里的修复版本，不能拿它去和 PHP 官方的 8.3.36 比数字。

先确认：网站用的是系统源的 PHP 吗？

本页只适用于从 Ubuntu、Debian 官方源安装的 PHP。下面几种情况要换指南：

• 用了宝塔、1Panel 等面板：面板管理自己的 PHP，系统升级改不到它，见 宝塔 PHP。
• 用了第三方 PPA（比如为了装新版 PHP 加的源）：看 PPA 维护者的公告，发行版公告不适用。
• 自己编译的 PHP：见 PHP 停止维护版本 里的自编译部分。
• 网站在 Docker 或 LXC 容器里：要升级的是容器里的系统，宿主机升级没用，见 Docker PHP 镜像。

一台服务器同时装着系统 PHP 和面板 PHP 很常见。WordPress 的“站点健康”能看到网站真正在用的版本。

Ubuntu 升级 PHP 的步骤是什么？

1. 确认版本和来源：记下系统版本（如 22.04、24.04）、网站用的 PHP 分支，以及 PHP 包来自官方源。
2. 按发行版安全公告升级：用系统的包管理器更新网站实际使用的那组 PHP 包（FPM、Apache 模块、扩展一起），不要只更新命令行那一个。
3. 重启 PHP 服务：PHP-FPM 用户重启对应版本的 FPM 服务；mod_php 用户重启 Apache。只重启 Nginx 不够，Nginx 不跑 PHP 代码。
4. 从网站复查：用 WordPress 站点健康确认网站的 PHP 版本，记下升级后的完整包版本，一起填进 PHP 版本检测，它会按发行版公告比对包版本。

本站不提供可直接复制的通用命令：服务名、包名取决于你装的 PHP 版本和方式，照抄别人的命令容易升级错对象。

升级后网站还是显示旧状态，为什么？

常见原因：

• PHP-FPM 没重启：旧进程还在跑旧代码。
• 改错了 PHP：系统里有多个 PHP 版本，网站绑定的是另一个。
• 多台机器、多个容器：只升级了其中一台。
• 有缓存：页面缓存里的信息不会实时变，用 WordPress 站点健康看。

Debian 12 或其他版本怎么办？

本站已核实 Debian 13 的修复记录，Debian 12 及其他版本尚未核实。请以 Debian 安全公告为准；暂时没有修复包的，先做 临时缓解 并限制访问。

升级完还要做什么？

1. 检查网站登录、上传、计划任务等关键功能。
2. 如果升级前暴露过一段时间，做一次 网站被黑检测。
3. 其他服务器、其他网站逐一检查，回到 PHP2Shell 检测 判断。

依据哪些来源？

• Canonical：USN-8948-1
• Canonical：CVE-2026-109618 状态页
• Canonical：CVE-2026-109619 状态页
• Debian：DSA-6574-1
• The PHP Group：PHP 安全公告
• The PHP Group：php_sapi_name
• WordPress.org：站点健康