宝塔面板
¿Qué versión de PHP del panel 宝塔 corrige PHP2Shell?
Esta página sigue el aviso propio de 宝塔, actualizado el 22 de octubre de 2026, no una publicación de foro. Las etiquetas de la interfaz del panel se citan en chino. Node.js aparece en el aviso, pero no se trata aquí.
Última actualización
| Punto | Qué dice el aviso de 宝塔 | Fuente |
|---|---|---|
| Sincronizado en Linux y Windows | PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12, descritos como portadores de ambas correcciones | aviso de 宝塔 |
| Paquetes Linux para ramas antiguas | 7.4.34, 8.0.31 y 8.1.35. Según 宝塔, builds Linux propios con ambas correcciones, instalables desde la tienda de software. No son números de versión del proyecto PHP. | aviso de 宝塔 |
| Windows, PHP 8.1 y anteriores | Sin equivalente de estos tres paquetes. Solo un ajuste provisional: session.upload_progress.enabled=0 en el php.ini realmente cargado y reiniciar ese servicio PHP. No es una solución completa. | aviso de 宝塔 |
| Ruta de clics | 登录 → 软件商店 → 已安装 → 更新软件列表 / 支付状态 → 更新 en la versión de PHP utilizada → comprobar versión y sitio | aviso de 宝塔 |
| Gravedad, repetida | CVSS v4.0 9.2 para cada CVE. La puntuación procede del equipo de seguridad de PHP; 宝塔 la repite. | aviso de 宝塔; oss-security |
| Versiones upstream | 8.5.12, 8.4.27, 8.3.36 y 8.2.35 el 21 de octubre de 2026. Según PHP, solo la actualización es una solución completa. | php.net |
Actualizar en el panel
- Haga una copia de seguridad del sitio web y de la configuración del panel antes de cambiar PHP.
- Inicie sesión en 宝塔. Abra 软件商店 (tienda de software) y la lista 已安装 (instalado).
- Haga clic arriba a la derecha en 更新软件列表 / 支付状态 (actualizar lista de software / estado de pago) para que la lista esté al día.
- Busque la versión de PHP que usa realmente el sitio y haga clic en 更新 (actualizar). Compare el número de versión con la tabla anterior.
- Vuelva a cargar una página real y las funciones necesarias. Si hay varias versiones de PHP instaladas, repita la comprobación para cada versión que siga sirviendo un sitio.
Windows: PHP 8.1 y anteriores
El aviso deja claro que los tres números de paquete antiguos son para Linux. Para Windows con PHP 8.1 y anteriores solo ofrece un cambio provisional en el php.ini que el servicio carga realmente:
session.upload_progress.enabled = 0Guarde, reinicie ese servicio PHP y repita para cada PHP antiguo de la máquina. 宝塔 aconseja migrar estas instalaciones Windows a una rama con soporte y su versión correctora. El mismo aviso remite a otros límites incompletos de PHP, entre ellos post_max_size (8M sin subidas, 32M con subidas) y la advertencia de no usar memory_limit=-1 sin un límite de cgroup o contenedor. No sustituya ese límite por RLIMIT_AS o RLIMIT_DATA. Detalles en la página de corrección.
Qué no trata esta página
El mismo aviso de 宝塔 menciona también actualizaciones de Node.js (22.23.4, 24.22.1 y 26.12.1 según la tabla). Este informe no trata Node.js ni reproduce pasos de explotación ni firmas de registros. Las respuestas por rama upstream están en las páginas PHP 8.5, 8.4, 8.3, 8.2 y PHP 5 a 8.1.
¿Tiene ya el panel 宝塔 las correcciones para PHP 8.2 a 8.5?
Según el aviso, los paneles Linux y Windows han sincronizado 8.2.35, 8.3.36, 8.4.27 y 8.5.12, y esos builds incluyen ambas correcciones. Aun así, debe instalar la actualización para cada versión de PHP que usen realmente los sitios web y después comprobar la versión y el sitio.
¿Es PHP 8.0.31 de 宝塔 una versión oficial de PHP?
No. Según el aviso, PHP no publicó paquetes instalables para 7.4, 8.0 y 8.1, y 7.4.34, 8.0.31 y 8.1.35 son paquetes de 宝塔 para el panel Linux. No interprete estos números como versiones de php.net. El comprobador de versión de este sitio no los reconoce.
¿Qué pasa con PHP 8.1 y anteriores en Windows?
Según el aviso, estos builds de Windows no reciben los tres números de paquete de Linux. Como medida provisional menciona session.upload_progress.enabled=0 en el php.ini realmente cargado y reiniciar ese servicio PHP. 宝塔 indica que esto solo atenúa una vía confirmada de CVE-2026-109619 y no es una solución completa para ambas CVE.
¿Dónde hago clic?
Inicie sesión, abra 软件商店, elija 已安装, haga clic arriba a la derecha en 更新软件列表 / 支付状态 y después en 更新 junto a la versión de PHP del sitio. Haga antes una copia de seguridad. Repita para cada versión de PHP instalada. Las etiquetas proceden del aviso en chino.
Fuentes
Los enlaces externos salen de este sitio. No alojamos código de explotación.
- PHP 与 Node.js 紧急安全更新公告（更新于 2026-10-22） — 宝塔面板 (BT Panel)
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)