Panneaux de contrôle

PHP2Shell sur aaPanel (宝塔) et 1Panel

Les deux panneaux fournissent leurs propres builds PHP, y compris des builds corrigés pour PHP 7.4, 8.0 et 8.1 que le projet PHP ne publie pas. Mettre à jour le panneau lui-même ne met pas à jour le PHP utilisé par vos sites.

Dernière vérification 2026-10-23

Mettre à jour le panneau ne met pas à jour PHP

Chaque version de PHP installée via le panneau doit être mise à jour et redémarrée séparément. Vérifiez chaque version réellement utilisée par un site ou un projet.

Builds PHP corrigés par branche

Premiers builds corrigés publiés par les éditeurs. Vérifié le 2026-10-22.

Branche PHP宝塔 / aaPanel1PanelType
8.58.5.128.5.12Version officielle de PHP
8.48.4.278.4.27Version officielle de PHP
8.38.3.368.3.36Version officielle de PHP
8.28.2.358.2.35Version officielle de PHP
8.18.1.358.1.35Rétroportage du panneau (pas une version PHP)
8.08.0.318.0.31Rétroportage du panneau (pas une version PHP)
7.47.4.347.4.34Rétroportage du panneau (pas une version PHP)
7.37.3.34non proposé宝塔 uniquement, installé par script
7.27.2.35non proposé宝塔 uniquement, installé par script
7.17.1.34non proposé宝塔 uniquement, installé par script
7.07.0.34non proposé宝塔 uniquement, installé par script

Les builds rétroportés peuvent encore afficher le numéro amont dans php -v (le 8.1.35 de 1Panel contient par exemple PHP 8.1.34). Fiez-vous au build affiché dans le panneau. Sources : guide de sécurité 宝塔, commit de l’app store 1Panel. PHP 5.x : aucun panneau n’indique de correctif ; isolez ces sites et migrez.

宝塔 / aaPanel

  1. Sauvegardez les sites, les bases de données et la configuration.
  2. Ouvrez App Store → Installed (软件商店 → 已安装) et cliquez sur Update app list (更新软件列表).
  3. Mettez à jour chaque version de PHP utilisée par un site vers le build du tableau. Inutile de mettre à jour le panneau d’abord.
  4. Redémarrez chaque service PHP mis à jour, puis vérifiez la version et vos sites.
  5. PHP 7.0–7.3 ne peut pas encore être mis à jour depuis l’App Store. 宝塔 fournit un script de correctif ; sauvegardez et testez-le avant la production.
shell
# Every PHP version installed by 宝塔 / aaPanel
for p in /www/server/php/*/bin/php; do echo -n "$p: "; $p -r 'echo PHP_VERSION, PHP_EOL;'; done

# Restart the FPM service of each updated version (example: PHP 7.4)
/etc/init.d/php-fpm-74 restart

# PHP 7.0–7.3 only: 宝塔's patch script (back up first; use 71, 72 or 73 for other branches)
curl -fL -o php7_cve.sh https://download.bt.cn/install/php7_cve.sh && bash php7_cve.sh install 70

Selon 宝塔, le durcissement en un clic (Security Center, panneau 13.1+) ne réduit que certains chemins d’attaque et ne corrige pas les deux CVE. Nginx WAF 9.9.0 ajoute des règles pour les deux CVE, mais seulement dans les éditions payantes ; utilisez-le en plus du correctif, pas à sa place.

aaPanel, l’édition internationale, a publié un avis de sécurité avec les mêmes étapes App Store et cite 8.1.35 et 7.4.34 ; au moment de cet avis, son build 8.0 était encore en test. Utilisez le build proposé par l’App Store de votre serveur et vérifiez-le.

1Panel

  1. Sauvegardez, idéalement en période calme.
  2. Ouvrez l’App Store et cliquez sur Update remote apps (更新远程应用).
  3. Dans chaque runtime PHP, sélectionnez la version corrigée. Les builds 7.4, 8.0 et 8.1 corrigés portent la mention « 1Panel patched ». Si elle n’apparaît pas, changez le sélecteur de version majeure à côté de l’app et rouvrez la liste.
  4. Enregistrez, puis redémarrez les projets qui utilisent ce runtime et vérifiez la version.
shell
# 1Panel PHP runtimes are containers: list them with their image tags
docker ps --format '{{.Names}}\t{{.Image}}' | grep -i php

# PHP version inside a runtime container
docker exec <container> php -v

Les runtimes PHP de 1Panel sont des conteneurs (1panel/php:<version>). Mettre à jour 1Panel lui-même ne change pas l’image runtime des projets existants.

Questions

Le build 宝塔 de PHP 7.4 / 8.0 / 8.1 est-il une version officielle de PHP ?+

Non. Le projet PHP n’a publié que 8.2 à 8.5. 宝塔 et 1Panel ont construit leurs paquets 7.4, 8.0 et 8.1 à partir des rétroportages source de l’équipe sécurité de PHP. Ils corrigent ces deux CVE, mais les branches restent en fin de vie : prévoyez la migration vers 8.4 ou 8.5.

Le WAF de 宝塔 ou le durcissement en un clic remplacent-ils la mise à jour ?+

Non. 宝塔 indique lui-même que le durcissement en un clic ne réduit que certains chemins d’attaque, et les règles WAF couvrent des motifs de requêtes connus. Mettez PHP à jour et redémarrez les workers.

J’ai mis à jour 1Panel mais mon site utilise encore l’ancien PHP. Pourquoi ?+

Chaque runtime de site est une image de conteneur distincte. Sélectionnez la version corrigée dans les paramètres du runtime, enregistrez et redémarrez le projet.

Voir aussi