针对 PHP2Shell 漏洞（CVE-2026-109618 / CVE-2026-109619），宝塔面板的修复方案取决于你正在使用的 PHP 版本。核心原则是：PHP 8.2 及以上优先通过面板更新；PHP 8.1 及以下旧版本需使用宝塔或第三方提供的兼容补丁，因为 PHP 官方已不再为这些版本提供支持。
各版本修复操作
PHP 8.2 – 8.5 用户
这是最直接的情况。PHP 官方已发布修复版本（8.2.35、8.3.36、8.4.27、8.5.12 等）。
- 登录宝塔面板，进入「软件商店」→「已安装」。
- 点击右上角「更新软件列表」。
- 找到你正在使用的 PHP 版本，点击更新/升级。确保升级到包含修复的版本。
- 更新完成后，务必重启 PHP 服务（以及 Nginx/Apache）使补丁生效。
PHP 5.4 – 8.1 用户（已停止维护版本）
PHP 官方不会为这些版本发布补丁，但宝塔已打包了修复版，或可以使用社区维护的修复包。
- 首选方案：同样在宝塔「软件商店」中检查是否有该旧版本的更新包。根据社区反馈，宝塔已为 PHP 7.4、8.0、8.1 等提供了修复版本，按提示更新即可。
- 备用方案（第三方脚本）：如果面板内没有更新，可使用 GitHub 上的开源修复项目 php2shell-fixed。该项目为宝塔环境下的 PHP 5.4–8.1 提供了打好补丁的源码包和一键编译替换脚本。操作前需注意：脚本会利用服务器原有的编译环境重新编译，不会影响线上正在运行的 PHP，直到你确认替换。同一大版本内升级，已安装的扩展（如 redis、swoole_loader）通常无需重新编译。操作有一定技术门槛，建议在熟悉 Linux 命令的前提下进行，或先做好快照备份。
关键提醒
- 漏洞危害极高：CVSS 评分 9.2，无需登录即可远程执行代码，且 PoC 已公开，利用门槛很低。
- 代码层无法防御：这是 PHP 核心层漏洞，修改网站代码或安装应用层防护插件都无法拦截，必须从 PHP 环境本身修复。
- 不要依赖 WAF：虽然 WAF 可能拦截部分攻击，但无法提供根本性防护。唯一彻底的解决办法是更新 PHP 版本。
建议立即行动，优先处理面向公网的服务器。
