宝塔面板
PHP2Shell を修正する宝塔の PHP バージョンは？
このページはフォーラムの書き込みではなく、2026 年 10 月 22 日に更新された宝塔自身の告知に基づいています。パネルの UI 表記は中国語のまま引用します。告知にある Node.js は対象外です。
最終更新
| 項目 | 宝塔の告知の記載 | 出典 |
|---|---|---|
| Linux と Windows で同期済み | PHP 8.2.35、8.3.36、8.4.27、8.5.12（両方の修正を含むと説明） | 宝塔の告知 |
| 古いブランチの Linux 向けパッケージ | 7.4.34、8.0.31、8.1.35。宝塔の Linux ビルドで両方の修正を含み、ソフトウェアストアからインストールするとしています。PHP プロジェクトのリリース番号ではありません。 | 宝塔の告知 |
| Windows の PHP 8.1 以前 | 上記 3 パッケージに相当するものはなし。暫定設定のみ：実際に読み込まれる php.ini で session.upload_progress.enabled=0 にし、その PHP サービスを再起動。完全な修正ではありません。 | 宝塔の告知 |
| 操作手順 | 登录 → 软件商店 → 已安装 → 更新软件列表 / 支付状态 → 使用中の PHP の 更新 → バージョンとサイトを確認 | 宝塔の告知 |
| 深刻度（再掲） | 各 CVE とも CVSS v4.0 9.2。スコアの出どころは PHP セキュリティチームで、宝塔はそれを繰り返しています。 | 宝塔の告知; oss-security |
| 上流のリリース | 2026 年 10 月 21 日の 8.5.12、8.4.27、8.3.36、8.2.35。PHP が示す完全な修正はアップデートだけです。 | php.net |
パネルでアップグレードする
- PHP を変更する前に、サイトとパネルの設定をバックアップします。
- 宝塔にログインし、软件商店（ソフトウェアストア）の 已安装（インストール済み）一覧を開きます。
- 右上の 更新软件列表 / 支付状态（ソフトウェア一覧 / 支払い状況の更新）をクリックして一覧を最新にします。
- サイトが実際に使っている PHP バージョンを探して 更新（アップデート）をクリックし、上の表とバージョン番号を照合します。
- 実際のページと依存する機能を再読み込みします。複数の PHP バージョンがある場合は、サイトが残っている各バージョンで確認を繰り返します。
Windows の PHP 8.1 以前
告知は、古い 3 つのパッケージ番号は Linux 向けだと明記しています。Windows の PHP 8.1 以前については、サービスが実際に読み込む php.ini での暫定的な変更だけを示しています：
session.upload_progress.enabled = 0保存してその PHP サービスを再起動し、マシン上の古い PHP ごとに繰り返します。宝塔は、これらの Windows 環境をサポート中のブランチと対応する修正版へ移行するよう述べています。同じ告知は、post_max_size（アップロードなしで 8M、ありで 32M）や、cgroup やコンテナの制限なしに memory_limit=-1 を通常使用しないという警告など、PHP の他の不完全な制限にも触れています。RLIMIT_AS や RLIMIT_DATA で代用しないでください。詳細は対策のページにあります。
このページで扱わないこと
同じ宝塔の告知には Node.js の更新（告知の表では 22.23.4、24.22.1、26.12.1）も載っていますが、本ブリーフィングは Node.js を扱いません。エクスプロイトの手順やログのシグネチャも転載しません。ブランチ別の上流の回答は PHP 8.5、8.4、8.3、8.2、PHP 5〜8.1 のページにあります。
宝塔パネルには PHP 8.2〜8.5 の修正がもう入っていますか？
告知によると、Linux 版と Windows 版のパネルは 8.2.35、8.3.36、8.4.27、8.5.12 を同期済みで、これらのビルドは両方の修正を含みます。それでも、サイトが実際に使う各 PHP バージョンの更新をインストールし、バージョンとサイトを確認する必要があります。
宝塔の PHP 8.0.31 は公式の PHP リリースですか？
いいえ。告知は、PHP が 7.4、8.0、8.1 のインストール可能なパッケージを公開していないこと、7.4.34、8.0.31、8.1.35 は Linux パネル向けの宝塔のパッケージであることを述べています。これらを php.net のリリースと読まないでください。本サイトのバージョン確認ツールでは判別できません。
Windows の PHP 8.1 以前はどうなりますか？
告知によると、Windows のこれらのビルドには Linux 向けの 3 つのパッケージ番号はありません。示されている暫定策は、PHP が実際に読み込む php.ini で session.upload_progress.enabled=0 にし、その PHP サービスを再起動することです。宝塔は、これは CVE-2026-109619 の確認済みの経路を緩和するだけで、両 CVE の完全な修正ではないとしています。
どこをクリックすればよいですか？
ログインし、软件商店を開き、已安装を選び、右上の 更新软件列表 / 支付状态 をクリックしてから、サイトが使う PHP バージョンの 更新 をクリックします。事前にバックアップしてください。インストール済みのすべての PHP バージョンで繰り返します。表記は中国語の告知から引用しています。
出典
外部リンクは本サイトの外に移動します。本サイトはエクスプロイトコードを掲載しません。
- PHP 与 Node.js 紧急安全更新公告（更新于 2026-10-22） — 宝塔面板 (BT Panel)
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)