虚拟主机与托管主机
虚拟主机与托管主机上的 PHP2Shell
如果服务器由别人管理，就得由他们安装修复后的 PHP。你要做的是：为网站选择最新的 PHP 版本、确认具体版本号，并让主机商给出确认。
最后核实 2026-10-22
各主机商的状态每小时都在变
我们只列出主机商公开说过的内容。你的主机商不在列表里，并不代表它没修复——请直接问。
怎么做
- 切换网站到面板提供的最新 PHP 版本（如有 8.4 或 8.5 优先选择；切换后测试网站）。
- 确认网站实际运行的具体版本——在你的 CMS 中查看（WordPress、Drupal、Joomla）或用下方文件查看——并粘贴到版本检测中。
- 询问主机商，用下方的消息请他们确认已打补丁并重启 worker。
- 如果没有已修复构建：即使使用 PHP 8.1 或更早版本，也应询问厂商回移植补丁；在修复前隔离暴露的服务，并规划迁移。
php
<?php
// Save as v-<random>.php in your web root, open it in a browser, then DELETE it.
echo PHP_VERSION, ' ', PHP_SAPI, PHP_EOL;在哪里切换 PHP 版本
| 面板 | 位置 | PHP 如何获得补丁 |
|---|---|---|
| cPanel | 软件 → MultiPHP Manager（CloudLinux 上为 Select PHP Version） | ea-phpXY / alt-phpXY 软件包；cPanel 在发布前表示会在上游发布后推送 ea-php74 – ea-php85 的更新（尚未证实已发布）。 |
| Plesk | 网站与域名 → PHP（PHP 设置） | plesk-phpXY 处理程序，通过 Plesk 安装器更新。发布当天仍有客户在 Plesk 论坛询问更新时间。 |
| DirectAdmin | Account Manager → PHP 版本选择器（需主机商启用） | 通过 CustomBuild 构建；需要主机商重新编译 PHP。 |
| CloudLinux（很多主机商在用） | Select PHP Version | alt-php 构建；CloudLinux 表示会在上游发布后推出已修复的软件包。 |
| hPanel（Hostinger）及其他自研面板 | 通常在 高级 → PHP 配置 | 由主机商统一修复。 |
管理这些面板的服务器管理员：命令见修复指南（cPanel 和 Plesk 标签页）。
发给主机商的消息
发给主机商的邮件
主题：PHP2Shell（CVE-2026-109618 / CVE-2026-109619）修复情况确认
您好，
请确认运行我的网站 <域名> 的 PHP 运行环境，已经升级到修复
CVE-2026-109618 和 CVE-2026-109619 的版本（PHP 8.2.35 / 8.3.36 /
8.4.27 / 8.5.12，或包含回移植补丁的厂商构建），并且升级后已重启
PHP-FPM / LSAPI worker。
如果我的账户还在使用 PHP 8.1 或更早版本，请告知可以切换到哪个已修复的版本。
谢谢！常见问题
虚拟主机上我能自己升级 PHP 吗？+
不能。PHP 二进制归主机商管理。你可以在面板里把网站切换到更新的 PHP 版本，但修复后的构建必须由主机商安装。
我的主机商只提供 PHP 8.1 或更早版本，怎么办？+
问问他们是否提供厂商回移植的构建（CloudLinux 和部分面板提供）。如果没有，这家主机商就无法保护你免受 PHP2Shell 攻击——请规划迁移，并在此期间在网站前面加上 Cloudflare 这类 WAF。
在 cPanel 里选了 PHP 8.4 就算修复了吗？+
只有主机商安装了修复后的 8.4 构建（8.4.27 或回移植版本）才算。选择某个分支并不会升级它。切换后请确认具体版本号。