宝塔面板

Quelle version de PHP corrige PHP2Shell dans le panneau 宝塔 ?

Cette page suit l’avis de 宝塔 lui-même, mis à jour le 22 octobre 2026, et non un message de forum. Les libellés de l’interface du panneau sont cités en chinois. Node.js est mentionné dans l’avis, mais n’est pas traité ici.

Dernière mise à jour 2026-10-22

Chaque ligne reprend l’avis de 宝塔. Des versions PHP amont n’existent que pour la ligne 8.2 à 8.5.

Point	Ce que dit l’avis 宝塔	Source
Synchronisé sous Linux et Windows	PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12, décrits comme contenant les deux correctifs	Avis 宝塔
Paquets Linux pour les anciennes branches	7.4.34, 8.0.31 et 8.1.35. Selon 宝塔, des builds Linux maison avec les deux correctifs, installables depuis la boutique logicielle. Pas des numéros de version du projet PHP.	Avis 宝塔
Windows, PHP 8.1 et antérieures	Pas d’équivalent à ces trois paquets. Seulement un réglage provisoire : session.upload_progress.enabled=0 dans le php.ini réellement chargé, puis redémarrer ce service PHP. Pas une solution complète.	Avis 宝塔
Chemin de clics	登录 → 软件商店 → 已安装 → 更新软件列表 / 支付状态 → 更新 pour la version de PHP utilisée → vérifier la version et le site	Avis 宝塔
Gravité, reprise	CVSS v4.0 9.2 pour chaque CVE. Le score vient de l’équipe sécurité de PHP ; 宝塔 le reprend.	Avis 宝塔 ; oss-security
Versions amont	8.5.12, 8.4.27, 8.3.36 et 8.2.35 le 21 octobre 2026. Selon PHP, seule la mise à jour est une solution complète.	php.net

Mise à niveau dans le panneau

Sauvegardez le site et la configuration du panneau avant de modifier PHP.
Connectez-vous à 宝塔. Ouvrez 软件商店 (boutique logicielle) et la liste 已安装 (installé).
Cliquez en haut à droite sur 更新软件列表 / 支付状态 (actualiser la liste des logiciels / l’état de paiement) pour que la liste soit à jour.
Repérez la version de PHP réellement utilisée par le site et cliquez sur 更新 (mettre à jour). Comparez le numéro de version avec le tableau ci-dessus.
Rechargez une vraie page et les fonctions nécessaires. Si plusieurs versions de PHP sont installées, répétez la vérification pour chacune qui sert encore un site.

Windows : PHP 8.1 et antérieures

L’avis précise que les trois anciens numéros de paquets concernent Linux. Pour Windows avec PHP 8.1 et antérieures, il ne propose qu’une modification provisoire du php.ini réellement chargé par le service :

Cité de l’avis 宝塔 comme passerelle incomplète pour un chemin confirmé de CVE-2026-109619. Ne corrige pas les deux CVE.

session.upload_progress.enabled = 0

Enregistrez, redémarrez ce service PHP et répétez pour chaque ancien PHP de la machine. 宝塔 conseille de migrer ces installations Windows vers une branche prise en charge disposant d’une version corrective. Le même avis renvoie à d’autres limites incomplètes de PHP, dont post_max_size (8M sans envoi de fichiers, 32M avec) et l’avertissement de ne pas utiliser memory_limit=-1 sans limite cgroup ou de conteneur. Ne remplacez pas cette limite par RLIMIT_AS ou RLIMIT_DATA. Détails sur la page de remédiation.

Ce que cette page ne couvre pas

Le même avis 宝塔 liste aussi des mises à jour Node.js (22.23.4, 24.22.1 et 26.12.1 selon le tableau). Cette note ne traite pas de Node.js et ne reproduit ni étapes d’exploitation ni signatures de journaux. Les réponses par branche amont figurent sur les pages PHP 8.5, 8.4, 8.3, 8.2 et PHP 5 à 8.1.

Le panneau 宝塔 a-t-il déjà les correctifs pour PHP 8.2 à 8.5 ?

Selon l’avis, les panneaux Linux et Windows ont synchronisé 8.2.35, 8.3.36, 8.4.27 et 8.5.12, et ces builds contiennent les deux correctifs. Vous devez tout de même installer la mise à jour pour chaque version de PHP réellement utilisée par des sites, puis vérifier la version et le site.

PHP 8.0.31 de 宝塔 est-il une version officielle de PHP ?

Non. Selon l’avis, PHP n’a publié aucun paquet installable pour 7.4, 8.0 et 8.1, et 7.4.34, 8.0.31 et 8.1.35 sont des paquets 宝塔 pour le panneau Linux. Ne lisez pas ces numéros comme des versions php.net. Le vérificateur de version de ce site ne les reconnaît pas.

Et PHP 8.1 et antérieures sous Windows ?

Selon l’avis, ces builds Windows ne reçoivent pas les trois numéros de paquets Linux. Comme transition, il cite session.upload_progress.enabled=0 dans le php.ini réellement chargé et un redémarrage de ce service PHP. 宝塔 indique que cela n’atténue qu’un chemin confirmé de CVE-2026-109619 et n’est pas une solution complète pour les deux CVE.

Où cliquer ?

Connectez-vous, ouvrez 软件商店, choisissez 已安装, cliquez en haut à droite sur 更新软件列表 / 支付状态, puis sur 更新 pour la version de PHP du site. Sauvegardez d’abord. Répétez pour chaque version de PHP installée. Les libellés proviennent de l’avis chinois.

Sources

Les liens externes quittent ce site. Nous n’hébergeons aucun code d’exploitation.

PHP 与 Node.js 紧急安全更新公告（更新于 2026-10-22） — 宝塔面板 (BT Panel)
News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)