Controlepanelen

PHP2Shell in aaPanel (宝塔) en 1Panel

Beide panelen leveren eigen PHP-builds, waaronder gepatchte builds voor PHP 7.4, 8.0 en 8.1 die het PHP-project niet uitbrengt. Het panel zelf bijwerken werkt de PHP van je sites niet bij.

Laatst gecontroleerd 2026-10-23

Panel bijwerken is geen PHP bijwerken

Elke via het panel geïnstalleerde PHP-versie moet apart worden bijgewerkt en herstart. Controleer elke versie die een site of project echt gebruikt.

Gepatchte PHP-builds per branch

Eerste gepatchte panel-builds zoals gepubliceerd door de leveranciers. Gecontroleerd op 2026-10-22.

PHP-branch宝塔 / aaPanel1PanelSoort
8.58.5.128.5.12Officiële PHP-release
8.48.4.278.4.27Officiële PHP-release
8.38.3.368.3.36Officiële PHP-release
8.28.2.358.2.35Officiële PHP-release
8.18.1.358.1.35Panel-backport (geen PHP-release)
8.08.0.318.0.31Panel-backport (geen PHP-release)
7.47.4.347.4.34Panel-backport (geen PHP-release)
7.37.3.34niet aangebodenAlleen 宝塔, via script
7.27.2.35niet aangebodenAlleen 宝塔, via script
7.17.1.34niet aangebodenAlleen 宝塔, via script
7.07.0.34niet aangebodenAlleen 宝塔, via script

Backport-builds kunnen in php -v nog het upstream-nummer tonen (de 8.1.35 van 1Panel bevat bijvoorbeeld PHP 8.1.34). Ga uit van de build die het panel toont. Bronnen: 宝塔-beveiligingsgids, 1Panel app-store-commit. PHP 5.x: geen van beide panelen noemt een fix; isoleer die sites en migreer.

宝塔 / aaPanel

  1. Maak een back-up van sites, databases en configuratie.
  2. Open App Store → Installed (软件商店 → 已安装) en klik op Update app list (更新软件列表).
  3. Werk elke PHP-versie die een site gebruikt bij naar de build in de tabel. Het panel eerst upgraden is niet nodig.
  4. Herstart elke bijgewerkte PHP-dienst en controleer daarna de versie en je sites.
  5. PHP 7.0–7.3 kan nog niet via de App Store worden bijgewerkt. 宝塔 levert een patchscript; maak eerst een back-up en test het voordat je het in productie gebruikt.
shell
# Every PHP version installed by 宝塔 / aaPanel
for p in /www/server/php/*/bin/php; do echo -n "$p: "; $p -r 'echo PHP_VERSION, PHP_EOL;'; done

# Restart the FPM service of each updated version (example: PHP 7.4)
/etc/init.d/php-fpm-74 restart

# PHP 7.0–7.3 only: 宝塔's patch script (back up first; use 71, 72 or 73 for other branches)
curl -fL -o php7_cve.sh https://download.bt.cn/install/php7_cve.sh && bash php7_cve.sh install 70

Volgens 宝塔 verkleint de one-click-hardening (Security Center, panel 13.1+) alleen enkele aanvalspaden en lost hij de twee CVE’s niet op. Nginx WAF 9.9.0 voegt regels voor beide CVE’s toe, maar alleen in betaalde edities; gebruik het naast de patch, niet in plaats ervan.

aaPanel, de internationale editie, publiceerde een beveiligingsmelding met dezelfde App Store-stappen en noemt 8.1.35 en 7.4.34; op het moment van die melding werd de 8.0-build nog getest. Gebruik de build die de App Store op je server aanbiedt en controleer die.

1Panel

  1. Maak een back-up, liefst op een rustig moment.
  2. Open de App Store en klik op Update remote apps (更新远程应用).
  3. Kies in elke PHP-runtime de gepatchte versie. Gepatchte 7.4-, 8.0- en 8.1-builds heten “1Panel patched”. Zie je hem niet, wissel dan de hoofdversie-keuze naast de app en open de lijst opnieuw.
  4. Sla op, herstart de projecten die de runtime gebruiken en controleer de versie.
shell
# 1Panel PHP runtimes are containers: list them with their image tags
docker ps --format '{{.Names}}\t{{.Image}}' | grep -i php

# PHP version inside a runtime container
docker exec <container> php -v

1Panel-PHP-runtimes zijn containers (1panel/php:<versie>). 1Panel zelf upgraden verandert het runtime-image van bestaande projecten niet.

Vragen

Is de 宝塔-build van PHP 7.4 / 8.0 / 8.1 een officiële PHP-release?+

Nee. Het PHP-project bracht alleen 8.2–8.5 uit. 宝塔 en 1Panel bouwden hun 7.4-, 8.0- en 8.1-pakketten uit de bron-backports van het PHP-securityteam. Ze verhelpen deze twee CVE’s, maar de branches blijven end-of-life: plan de overstap naar 8.4 of 8.5.

Vervangt de 宝塔-WAF of one-click-hardening de update?+

Nee. 宝塔 zegt zelf dat one-click-hardening alleen enkele aanvalspaden verkleint, en WAF-regels dekken bekende verzoekpatronen. Werk PHP bij en herstart de workers.

Ik heb 1Panel bijgewerkt, maar mijn site draait nog op de oude PHP. Waarom?+

Elke site-runtime is een apart container-image. Kies de gepatchte versie in de runtime-instellingen, sla op en herstart het project.

Gerelateerd