宝塔（aaPanel）与 1Panel 如何修复 PHP2Shell

回移构建的 php -v 可能仍显示上游版本号（例如 1Panel 的 8.1.35 内含 PHP 8.1.34），请以面板中显示的构建为准。来源：宝塔安全防护指南、1Panel 应用商店提交记录。PHP 5.x：两款面板均未列出修复，请隔离相关网站并尽快迁移。

1. 备份网站、数据库和配置。
2. 打开 软件商店 → 已安装，点击右上角 更新软件列表。
3. 把每个网站在用的 PHP 版本更新到上表中的构建。无需先升级面板。
4. 重启每个已更新的 PHP 服务，然后确认版本并检查网站是否正常。
5. PHP 7.0–7.3 暂时无法在软件商店更新。宝塔提供了补丁脚本，请先备份，并在测试环境验证后再用于生产。

# Every PHP version installed by 宝塔 / aaPanel
for p in /www/server/php/*/bin/php; do echo -n "$p: "; $p -r 'echo PHP_VERSION, PHP_EOL;'; done

# Restart the FPM service of each updated version (example: PHP 7.4)
/etc/init.d/php-fpm-74 restart

# PHP 7.0–7.3 only: 宝塔's patch script (back up first; use 71, 72 or 73 for other branches)
curl -fL -o php7_cve.sh https://download.bt.cn/install/php7_cve.sh && bash php7_cve.sh install 70

据宝塔说明，面板的一键加固（安全中心，面板 13.1 及以上）只能降低部分攻击路径的风险，不能完整修复这两个漏洞。Nginx 防火墙 9.9.0 新增了针对两个 CVE 的拦截规则，但仅限付费版，只能与补丁配合使用，不能替代补丁。

国际版 aaPanel 发布了安全公告，操作步骤与上面相同，列出了 8.1.35 和 7.4.34；发布该公告时其 8.0 构建仍在测试中。请以你服务器上软件商店实际提供的构建为准，并核对版本。

1. 先备份，最好在业务低峰期操作。
2. 打开 应用商店，点击 更新远程应用。
3. 在每个 PHP 运行环境中选择已修复的版本。7.4、8.0、8.1 的修复构建标注为 “1Panel patched”。如果看不到，切换应用旁边的大版本选项后重新打开列表。
4. 保存，然后重启使用该运行环境的项目，并核对版本。

# 1Panel PHP runtimes are containers: list them with their image tags
docker ps --format '{{.Names}}\t{{.Image}}' | grep -i php

# PHP version inside a runtime container
docker exec <container> php -v

1Panel 的 PHP 运行环境是容器（1panel/php:<版本>）。只升级 1Panel 面板，不会改变已有项目的运行环境镜像。

• 主机商使用虚拟主机或托管主机时你无法自己升级 PHP。如何在 cPanel、Plesk 等面板里查看和切换 PHP 版本、各主机商的公开表态，以及该向他们问什么。
• 临时缓解暂时无法升级时的 PHP2Shell 缓解措施：memory_limit、post_max_size、上传进度、fatal_error_backtraces、cgroup 内存上限——各自能挡住什么、会带来什么副作用。
• Linux 发行版修复包Ubuntu、Debian、RHEL、AlmaLinux、SUSE 上 PHP2Shell 的首个修复包版本，为什么版本号看起来还是旧的，以及如何核对你的构建。