PHP 严重安全漏洞修复及防护方案
针对 PHP CVE-2026-109618、CVE-2026-109619 两项严重安全漏洞，宝塔已同步相关 PHP 安全修复版本，并提供首页风险一键加固功能。用户可结合 Nginx 防火墙、系统加固、防入侵和 PHP 网站安全告警，完成漏洞处置及后续防护。
宝塔是国内首家针对本次漏洞手动适配旧版 PHP 安全补丁的运维面板服务商，并提供独家修复包与面板内更新方案。 目前已为 Linux 的 PHP 7.0、7.1、7.2、7.3、7.4、8.0、8.1 提供安全修复包，帮助仍依赖旧版 PHP 的用户完成本次漏洞修复。PHP 7 和 PHP 8 的修复版本均已上线面板软件商店；PHP 5.4、5.5、5.6 修复版目前通过命令开放测试。其中，PHP 5.6.41 采用 AI 辅助与人工代码对比的方式完成漏洞修复。
本次漏洞可能导致未经身份验证的远程代码执行。请受影响用户优先安装 PHP 安全补丁；暂时无法升级的用户，请先执行一键加固，并开启相关防护。具体修复方案及操作步骤如下。
以下安全中心与插件操作以宝塔 Linux 面板为例，Windows 用户请按照下方说明选择 PHP 修复版本。安装 PHP 安全补丁无需先升级面板。
一、安装 PHP 安全补丁#
安装 PHP 安全补丁无需先升级宝塔面板。Linux 的 PHP 7 和 PHP 8 修复版本均可通过软件商店升级；PHP 5.4、5.5、5.6 修复版目前开放测试，更新命令及验证说明见下文。请先检查网站实际使用的 PHP 版本，再选择对应的更新方式。
PHP 安全修复版本#
本次漏洞已提供的修复版本及测试版本如下，请留意各版本的适用说明。PHP 8.2 至 8.5 为 PHP 官方修复包，PHP 8.0、8.1、PHP 7 及 PHP 5 为宝塔修复包。
未使用宝塔面板的用户，也可从下表下载对应分支的源码包，按原有构建方式编译更新。请保留原有编译参数、扩展及配置，并在测试环境验证后再用于业务。下载链接均为 .tar.gz 源码包；Windows 面板用户请按 Windows 修复说明操作。
针对已停止 PHP 官方安全维护的 PHP 7.4、8.0、8.1，宝塔已应用 PHP 官方提供的回补补丁，完成 Linux 修复包打包并提供面板内升级，便于仍依赖旧版 PHP 的用户及时处置本次漏洞。Windows 的 PHP 8.1 及更早版本当前需修改配置、禁用相关功能进行临时缓解，并尽快规划迁移至受支持的 PHP 分支及对应安全修复版本。
PHP 7.0 至 7.3 的修复包由宝塔基于 PHP 7.4 的官方补丁逐行比对、回移适配，现已支持面板内更新。 上述旧版 PHP 均已停止 PHP 官方安全维护，仍建议尽快规划迁移至受支持的版本。完整的修复情况和临时配置说明参见 PHP 安全更新公告。
通过软件商店升级 PHP 7.0 及以上版本#
如果已开启系统加固，且页面提示加固规则阻止升级，请按提示临时关闭相关防护，完成后恢复。
以下步骤与截图以 Linux 面板为例：
进入「软件商店」，选择
已安装。先单击右上角的
更新软件列表 / 支付状态，获取最新软件信息。找到网站正在使用的 PHP 分支，单击
更新，按提示安装对应修复版本。
更新完成后，确认对应 PHP 服务已重启；如更新过程没有重启服务，请手动重启，使所有工作进程使用修复后的版本。
检查网站实际使用的 PHP 版本、PHP 扩展加载情况，并验证页面访问、登录、文件上传、数据库连接及其他核心业务功能。
服务器安装了多个 PHP 分支时，请逐一核对仍在使用的版本。只更新其中一个 PHP 分支，不能覆盖其他分支运行的网站。Windows 用户请通过软件商店升级 PHP 8.2 及以上版本，并在升级后核对服务和网站的实际版本。
PHP 5.4 至 5.6 宝塔修复版：邀请用户测试#
宝塔已提供 PHP 5.4.46、5.5.39、5.6.41 修复版本。其中，PHP 5.6.41「宝塔 AI 修复版」通过 AI 辅助与人工代码对比的方式完成本次漏洞修复。
由于宝塔团队目前缺少 PHP 5 系列的实际业务环境，尚未完成真实业务场景下的兼容性与稳定性验证。现邀请仍使用 PHP 5.4、5.5、5.6 的用户协助测试，帮助我们确认不同业务环境下的运行情况。PHP 5 修复版目前尚未开放面板内更新，需按下方命令更新。
以下脚本用于更新宝塔 Linux 面板管理的对应 PHP 环境。确认已做好备份后，在测试服务器的终端中，根据已安装的 PHP 分支选择一条命令执行。
PHP 5.4：更新至 5.4.46 宝塔修复版
PHP 5.5：更新至 5.5.39 宝塔修复版
PHP 5.6：更新至 5.6.41 宝塔 AI 修复版
未使用宝塔面板的用户，请使用上方对应源码包，按原有构建方式编译更新。
更新完成后，请核对对应 PHP 版本，并检查 PHP 扩展加载、网站访问、登录、文件上传、数据库连接等核心业务功能。 如出现扩展或网站异常，请及时恢复更新前的服务器快照，或按备份方案恢复 PHP 环境及配置。
无论测试后运行正常，还是发现异常，都欢迎联系宝塔客服反馈验证结果。 反馈时请说明所用系统、PHP 版本、扩展及业务运行情况；如有异常，可提供已隐去敏感信息的错误日志，便于我们排查和改进。
PHP 5.4、5.5、5.6 均已停止 PHP 官方安全维护，仍建议在业务条件允许时，规划迁移至受支持的 PHP 版本。
二、Nginx 开源免费 WAF 防火墙宝塔插件 增强PHP2Shell 防护#
# 方式一：通过宝塔面板插件市场直接安装 https://gitee.com/web/bt_ngx_lua_waf/releases/download/latest/bt_ngx_waf.zip # 方式二：源码部署cd /www/server/panel/plugin/bt_ngx_waf bash install.sh install # 方式三：更新现有安装 bash install.sh update# 卸载 bash install.sh uninstall
![百度云网盘高速下载方法[测试可用]](https://z3.ax1x.com/2021/04/18/c5TMSe.jpg)
