PHP2Shell 漏洞修復有先後順序：官方補丁在哪，補丁就從哪裡補

10 月 21 日晚間，PHP 的 PHP2Shell 漏洞資訊發布，編號為 CVE-2026-109618 與 CVE-2026-109619，屬於嚴重等級的遠端程式碼執行（RCE）漏洞。如果伺服器使用受影響的 PHP 執行環境，攻擊者有機會直接在主機上執行程式碼。對維運與安全部門來說，這類漏洞的麻煩之處在於「遠端執行」四個字：它不需要登入主機，走的是網站本來就對外開放的那扇門。

遠端程式碼執行可以這樣理解：你的網站像一間對外營業的店面，訪客本來只能點菜，漏洞卻讓某些顧客可以直接走進廚房開爐火。修補漏洞，等於把那條通往廚房的走道封起來，而不是只把菜單改好看。

真正的問題：舊版 PHP 誰來救

這次事件裡最值得注意的細節，來自 V2EX 原帖作者的補充：PHP 官方只為 PHP 8 以上的部分分支提供修復版本，PHP 7.4 等舊版的修補，是由寶塔面板這個第三方面板自行打包提供的。換句話說，官方已經停援的舊版 PHP，修補責任實際上落在面板廠商手上。

這與我們先前在寶塔凌晨推送 PHP 安全更新一文觀察到的結構完全一致：當上遊官方停止維護舊版本，使用者的安全缺口由誰補，答案往往是距離使用者最近的那一層工具。這次寶塔為 PHP 7.4、8.0、8.1 都推出對應修復版本，使用者不一定要立刻把整個網站遷移到 PHP 8.2 以上，可以先打補丁止血。

優先順序上，來源給出的建議很明確：能升級到官方已修復版本就升級；短期內動不了環境的，再使用寶塔提供的補丁。兩者的差別在於風險存續的時間長短，補丁是應急，版本升級才是把舊版逐步退場的根治方向。

一般網站管理者能做的事

如果你管理的是自己的主機或客戶的網站，具體動作是：先盤點每個網站實際跑的 PHP 版本，別只看主機預設版本；接著在面板內完成更新與重啟；最後打開網站確認功能正常。來源另提供一個線上初篩工具（php2shell.cc），可輔助檢查網站是否存在 PHP 相關特徵，但初篩結果不能取代版本確認，最終仍以面板顯示的版本號與官方公告為準。

一位 V2EX 網友的回應也反映了現實：手上還有一批客戶網站停在 PHP 7.4，打完補丁「可以暫時舒口氣」。這句話同時點出了下一階段的功課，補丁爭取到的時間，應該用來規劃版本升級，而不是讓舊環境繼續留在原地。舊版 PHP 拿不到官方修補的狀況不會只發生這一次，PHP2Shell 只是最新的一輪提醒。

寶塔官方公告與詳細操作步驟，可參照其微信公眾號公告頁面。