宝塔面板
Welche PHP-Version im 宝塔-Panel behebt PHP2Shell?
Diese Seite folgt dem eigenen Hinweis von 宝塔, aktualisiert am 22. Oktober 2026, nicht einem Forenbeitrag. Die Bezeichnungen der Panel-Oberfläche werden auf Chinesisch zitiert. Node.js wird im Hinweis erwähnt, ist hier aber nicht Thema.
Zuletzt aktualisiert
| Punkt | Was der 宝塔-Hinweis sagt | Quelle |
|---|---|---|
| Synchronisiert unter Linux und Windows | PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12, beschrieben als beide Fixes enthaltend | 宝塔-Hinweis |
| Linux-Pakete für alte Zweige | 7.4.34, 8.0.31 und 8.1.35. Laut 宝塔 eigene Linux-Builds mit beiden Fixes, installierbar aus dem Software-Store. Keine Versionsnummern des PHP-Projekts. | 宝塔-Hinweis |
| Windows, PHP 8.1 und älter | Kein Gegenstück zu diesen drei Paketen. Nur vorläufige Einstellung: session.upload_progress.enabled=0 in der tatsächlich geladenen php.ini, dann diesen PHP-Dienst neu starten. Keine vollständige Lösung. | 宝塔-Hinweis |
| Klickpfad | 登录 → 软件商店 → 已安装 → 更新软件列表 / 支付状态 → 更新 bei der genutzten PHP-Version → Version und Website prüfen | 宝塔-Hinweis |
| Schweregrad, wiederholt | CVSS v4.0 9.2 für jede CVE. Der Wert stammt vom PHP-Sicherheitsteam; 宝塔 wiederholt ihn. | 宝塔-Hinweis; oss-security |
| Upstream-Releases | 8.5.12, 8.4.27, 8.3.36 und 8.2.35 am 21. Oktober 2026. Laut PHP ist nur das Update eine vollständige Lösung. | php.net |
Upgrade im Panel
- Sichern Sie Website und Panel-Konfiguration, bevor Sie PHP ändern.
- Melden Sie sich bei 宝塔 an. Öffnen Sie 软件商店 (Software-Store) und die Liste 已安装 (Installiert).
- Klicken Sie oben rechts auf 更新软件列表 / 支付状态 (Softwareliste / Zahlungsstatus aktualisieren), damit die Liste aktuell ist.
- Suchen Sie die PHP-Version, die die Website tatsächlich nutzt, und klicken Sie auf 更新 (Aktualisieren). Gleichen Sie die Versionsnummer mit der Tabelle oben ab.
- Laden Sie eine echte Seite und die benötigten Funktionen neu. Sind mehrere PHP-Versionen installiert, wiederholen Sie die Prüfung für jede, die noch eine Website bedient.
Windows: PHP 8.1 und älter
Der Hinweis stellt klar, dass die drei alten Paketnummern für Linux gelten. Für Windows mit PHP 8.1 und älter bietet er nur eine vorläufige Änderung in der php.ini, die der Dienst tatsächlich lädt:
session.upload_progress.enabled = 0Speichern, diesen PHP-Dienst neu starten und für jedes alte PHP auf der Maschine wiederholen. 宝塔 rät, diese Windows-Installationen auf einen unterstützten Zweig mit passendem Fix-Release umzustellen. Derselbe Hinweis verweist auf weitere unvollständige Limits von PHP, darunter post_max_size (8M ohne Uploads, 32M mit Uploads) und die Warnung, memory_limit=-1 nicht ohne cgroup- oder Container-Limit zu verwenden. Ersetzen Sie dieses Limit nicht durch RLIMIT_AS oder RLIMIT_DATA. Details stehen auf der Abhilfe-Seite.
Was diese Seite nicht abdeckt
Derselbe 宝塔-Hinweis listet auch Node.js-Updates (22.23.4, 24.22.1 und 26.12.1 laut Tabelle). Dieses Briefing behandelt Node.js nicht und gibt auch keine Exploit-Schritte oder Log-Signaturen wieder. Antworten pro Upstream-Zweig stehen auf den Seiten PHP 8.5, 8.4, 8.3, 8.2 und PHP 5 bis 8.1.
Hat das 宝塔-Panel die Fixes für PHP 8.2 bis 8.5 schon?
Laut Hinweis haben Linux- und Windows-Panels 8.2.35, 8.3.36, 8.4.27 und 8.5.12 synchronisiert, und diese Builds enthalten beide Fixes. Sie müssen das Update trotzdem für jede PHP-Version installieren, die Websites tatsächlich nutzen, und danach Version und Website prüfen.
Ist PHP 8.0.31 von 宝塔 ein offizielles PHP-Release?
Nein. Laut Hinweis hat PHP keine installierbaren Pakete für 7.4, 8.0 und 8.1 veröffentlicht, und 7.4.34, 8.0.31 und 8.1.35 sind 宝塔-Pakete für das Linux-Panel. Lesen Sie diese Nummern nicht als php.net-Releases. Die Versionsprüfung dieser Website erkennt sie nicht.
Was ist mit PHP 8.1 und älter unter Windows?
Laut Hinweis erhalten diese Windows-Builds die drei Linux-Paketnummern nicht. Als Übergang nennt er session.upload_progress.enabled=0 in der tatsächlich geladenen php.ini und einen Neustart dieses PHP-Dienstes. 宝塔 sagt, das entschärfe nur einen bestätigten Pfad von CVE-2026-109619 und sei keine vollständige Lösung für beide CVEs.
Wo klicke ich?
Anmelden, 软件商店 öffnen, 已安装 wählen, oben rechts auf 更新软件列表 / 支付状态 klicken, dann bei der PHP-Version der Website auf 更新. Vorher sichern. Für jede installierte PHP-Version wiederholen. Die Bezeichnungen stammen aus dem chinesischen Hinweis.
Quellen
Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.
- PHP 与 Node.js 紧急安全更新公告（更新于 2026-10-22） — 宝塔面板 (BT Panel)
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)