Control Panels

PHP2Shell in aaPanel (宝塔) und 1Panel

Beide Panels liefern eigene PHP-Builds aus, darunter gepatchte Builds für PHP 7.4, 8.0 und 8.1, die das PHP-Projekt nicht veröffentlicht. Ein Update des Panels selbst aktualisiert nicht das PHP Ihrer Websites.

Zuletzt geprüft 2026-10-23

Panel-Update ist kein PHP-Update

Jede über das Panel installierte PHP-Version muss einzeln aktualisiert und neu gestartet werden. Prüfen Sie jede Version, die eine Website oder ein Projekt tatsächlich nutzt.

Korrigierte PHP-Builds pro Branch

Erste korrigierte Panel-Builds laut Hersteller. Geprüft am 2026-10-22.

PHP-Branch宝塔 / aaPanel1PanelArt
8.58.5.128.5.12Offizielles PHP-Release
8.48.4.278.4.27Offizielles PHP-Release
8.38.3.368.3.36Offizielles PHP-Release
8.28.2.358.2.35Offizielles PHP-Release
8.18.1.358.1.35Panel-Backport (kein PHP-Release)
8.08.0.318.0.31Panel-Backport (kein PHP-Release)
7.47.4.347.4.34Panel-Backport (kein PHP-Release)
7.37.3.34nicht angebotenNur 宝塔, per Skript installiert
7.27.2.35nicht angebotenNur 宝塔, per Skript installiert
7.17.1.34nicht angebotenNur 宝塔, per Skript installiert
7.07.0.34nicht angebotenNur 宝塔, per Skript installiert

Backport-Builds können in php -v weiterhin die Upstream-Nummer zeigen (1Panels 8.1.35 enthält z. B. PHP 8.1.34). Maßgeblich ist der im Panel angezeigte Build. Quellen: 宝塔-Sicherheitsleitfaden, 1Panel-App-Store-Commit. PHP 5.x: Keines der Panels nennt einen Fix; isolieren Sie diese Websites und migrieren Sie.

宝塔 / aaPanel

  1. Websites, Datenbanken und Konfiguration sichern.
  2. App Store → Installed (软件商店 → 已安装) öffnen und auf Update app list (更新软件列表) klicken.
  3. Jede von einer Website genutzte PHP-Version auf den Build aus der Tabelle aktualisieren. Ein vorheriges Panel-Upgrade ist nicht nötig.
  4. Jeden aktualisierten PHP-Dienst neu starten, dann Version und Websites prüfen.
  5. PHP 7.0–7.3 lässt sich noch nicht über den App Store aktualisieren. 宝塔 stellt ein Patch-Skript bereit; vorher sichern und vor dem Produktiveinsatz testen.
shell
# Every PHP version installed by 宝塔 / aaPanel
for p in /www/server/php/*/bin/php; do echo -n "$p: "; $p -r 'echo PHP_VERSION, PHP_EOL;'; done

# Restart the FPM service of each updated version (example: PHP 7.4)
/etc/init.d/php-fpm-74 restart

# PHP 7.0–7.3 only: 宝塔's patch script (back up first; use 71, 72 or 73 for other branches)
curl -fL -o php7_cve.sh https://download.bt.cn/install/php7_cve.sh && bash php7_cve.sh install 70

Laut 宝塔 senkt die One-Click-Härtung (Security Center, Panel 13.1+) nur einige Angriffspfade und behebt die beiden CVEs nicht. Nginx WAF 9.9.0 enthält Regeln für beide CVEs, aber nur in kostenpflichtigen Editionen; nutzen Sie sie zusätzlich zum Patch, nicht statt ihm.

aaPanel, die internationale Edition, hat eine Sicherheitsmeldung mit denselben App-Store-Schritten veröffentlicht und nennt 8.1.35 und 7.4.34; zum Zeitpunkt der Meldung war der 8.0-Build noch im Test. Verwenden Sie den Build, den der App Store auf Ihrem Server anbietet, und prüfen Sie ihn.

1Panel

  1. Sichern, möglichst in einer ruhigen Phase.
  2. Den App Store öffnen und auf Update remote apps (更新远程应用) klicken.
  3. In jeder PHP-Runtime die korrigierte Version wählen. Gepatchte 7.4-, 8.0- und 8.1-Builds sind als „1Panel patched“ gekennzeichnet. Fehlt sie, den Hauptversions-Schalter neben der App wechseln und die Liste neu öffnen.
  4. Speichern, die Projekte mit dieser Runtime neu starten und die Version prüfen.
shell
# 1Panel PHP runtimes are containers: list them with their image tags
docker ps --format '{{.Names}}\t{{.Image}}' | grep -i php

# PHP version inside a runtime container
docker exec <container> php -v

1Panel-PHP-Runtimes sind Container (1panel/php:<version>). Ein Upgrade von 1Panel selbst ändert das Runtime-Image bestehender Projekte nicht.

Fragen

Ist der 宝塔-Build für PHP 7.4 / 8.0 / 8.1 ein offizielles PHP-Release?+

Nein. Das PHP-Projekt hat nur 8.2–8.5 veröffentlicht. 宝塔 und 1Panel haben ihre 7.4-, 8.0- und 8.1-Pakete aus den Quell-Backports des PHP-Sicherheitsteams gebaut. Sie beheben diese beiden CVEs, die Branches bleiben aber End-of-Life: Planen Sie den Umstieg auf 8.4 oder 8.5.

Ersetzen die 宝塔-WAF oder die One-Click-Härtung das Update?+

Nein. 宝塔 selbst sagt, dass die One-Click-Härtung nur einige Angriffspfade reduziert, und WAF-Regeln decken bekannte Anfragemuster ab. Aktualisieren Sie PHP und starten Sie die Worker neu.

Ich habe 1Panel aktualisiert, aber die Website nutzt noch das alte PHP. Warum?+

Jede Website-Runtime ist ein eigenes Container-Image. Wählen Sie in den Runtime-Einstellungen die korrigierte Version, speichern Sie und starten Sie das Projekt neu.

Verwandte Seiten