原创数据 · 来自真实检查

PHP2Shell 修补现状：还有多少网站没打补丁？

汇总自 2026-10-21 以来用我们的免费检查工具完成的 5666 次网站检查。每个网站只计一次，以最近一次检查为准。数据截至 UTC 2026-10-23 04:53。

最后核实 2026-10-23

在暴露了 PHP 版本号的网站中，57% 运行的版本仍未包含 PHP2Shell 修复。

456 个网站

暴露了确切的 PHP 版本号（共检查 4522 个网站）。

194 个已修复（43%）

所在分支已是 8.5.12、8.4.27、8.3.36、8.2.35 或更高版本。

106 个未更新（23%）

处于仍受支持的分支（8.2–8.5），但版本低于修复版本。

156 个已停止支持（34%）

运行 PHP 8.1 或更旧版本，官方不会再发布修复版本。

与全网扫描数据的对比

一个全网追踪站统计，2026-10-23 所有可见 PHP 主机中已修复的比例只有 6.96%（PHP2Shell tracker）；Censys 也每小时发布扫描数据。我们的修复比例更高，因为来检查的人通常在照看这些网站，也有人打完补丁后再来复查。两组数据的方向一致：暴露版本号的 PHP 大多数仍未修复。

各 PHP 分支的修补率

仅统计暴露了确切版本号的网站，按分支分组。

分支	网站数	已修复	未更新	修复比例
8.5	85	45	40	53%
8.4	55	46	9	84%
8.3	97	64	33	66%
8.2	63	39	24	62%
8.1 及更旧	156	0	156	0%

最常见的已停止支持分支：7.4 (58), 8.1 (25), 8.0 (13)。这些分支没有官方 PHP 修复版本，可选方案见旧版 PHP。

检查能看到什么

大多数网站不会暴露 PHP 版本号，所以上面的数字只覆盖全部检查中可见的一小部分。

结果	网站数	占比
PHP，版本号可读	456	10%
PHP，版本号被隐藏	1,452	32%
不是 PHP	506	11%
信号不足	1,178	26%
无法访问或拦截了检查	930	21%

按日统计

每天（UTC）检查到的、版本号可读的不同网站数，以及其中已修复的数量。

日期（UTC）	网站数	已修复	修复比例
2026-10-21	5	2	40%
2026-10-22	442	189	43%
2026-10-23	27	4	15%

方法与局限

来源：在本站用免费检查工具发起的检查。只公布汇总数字，不列出任何被检查的地址、主机或访客。
每个网站（按主机名，忽略 “www.”）只计一次，以最近一次检查为准。无效地址、内网地址和指向本站的地址不计入。
只有服务器主动暴露版本号时才能读到，通常来自 X-Powered-By 响应头。厂商的向后移植补丁可能修复了一个看起来很旧的版本；网站也可能报告了修复版本，但旧的 worker 进程仍在运行。所以单个网站的结果只是信号，不是证明。
样本是自选的：人们在听说 PHP2Shell 后检查自己负责或担心的网站，并不是对整个互联网的随机抽样。

常见问题

还有多少网站受 PHP2Shell 影响？+

在我们检查到的 456 个暴露了确切 PHP 版本号的网站中，57%（262 个）运行的版本没有修复：106 个处于受支持但未更新的分支，156 个处于已停止支持的分支。数据截至 UTC 2026-10-23 04:53。

为什么你们的修复比例比全网扫描高？+

全网扫描统计的是所有可见的 PHP 主机，包括无人维护的站点；2026-10-23 一个追踪站给出的修复比例是 6.96%。我们的数据来自用户主动检查的网站，其中有些是打完补丁后来复查的，所以会偏向已修复的网站。

哪个 PHP 分支的修补率最低？+

在受支持的分支中是 PHP 8.5：该分支上暴露了版本号的网站中，只有 53% 运行的是修复版本。

这是对整个互联网的随机抽样吗？+

不是。这些是人们自己选择检查的网站，通常是自己或客户的网站。已经打过补丁的站长可能更常来检查，而且大多数网站会隐藏版本号。请把这些数字当作参考信号，而不是全面普查。

检查你自己的网站

检查工具会对单个网站读取同样的公开信号，你也可以直接粘贴版本号。然后按照修复指南操作。