宝塔面板
Welke PHP-versie in het 宝塔-paneel lost PHP2Shell op?
Deze pagina volgt het eigen advies van 宝塔, bijgewerkt op 22 oktober 2026, niet een forumbericht. De labels van de paneelinterface worden in het Chinees geciteerd. Node.js wordt in het advies genoemd, maar is hier geen onderwerp.
Laatst bijgewerkt
| Punt | Wat het 宝塔-advies zegt | Bron |
|---|---|---|
| Gesynchroniseerd onder Linux en Windows | PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12, beschreven als beide fixes bevattend | 宝塔-advies |
| Linux-pakketten voor oude takken | 7.4.34, 8.0.31 en 8.1.35. Volgens 宝塔 eigen Linux-builds met beide fixes, te installeren uit de softwarestore. Geen versienummers van het PHP-project. | 宝塔-advies |
| Windows, PHP 8.1 en ouder | Geen tegenhanger van deze drie pakketten. Alleen een tijdelijke instelling: session.upload_progress.enabled=0 in de daadwerkelijk geladen php.ini, daarna die PHP-dienst herstarten. Geen volledige oplossing. | 宝塔-advies |
| Klikpad | 登录 → 软件商店 → 已安装 → 更新软件列表 / 支付状态 → 更新 bij de gebruikte PHP-versie → versie en website controleren | 宝塔-advies |
| Ernst, herhaald | CVSS v4.0 9.2 voor elke CVE. De score komt van het PHP-securityteam; 宝塔 herhaalt hem. | 宝塔-advies; oss-security |
| Upstream-releases | 8.5.12, 8.4.27, 8.3.36 en 8.2.35 op 21 oktober 2026. Volgens PHP is alleen de update een volledige oplossing. | php.net |
Upgrade in het paneel
- Maak een back-up van website en paneelconfiguratie voordat u PHP wijzigt.
- Log in bij 宝塔. Open 软件商店 (softwarestore) en de lijst 已安装 (geïnstalleerd).
- Klik rechtsboven op 更新软件列表 / 支付状态 (softwarelijst / betaalstatus vernieuwen), zodat de lijst actueel is.
- Zoek de PHP-versie die de website daadwerkelijk gebruikt en klik op 更新 (bijwerken). Vergelijk het versienummer met de tabel hierboven.
- Laad een echte pagina en de benodigde functies opnieuw. Zijn meerdere PHP-versies geïnstalleerd, herhaal de controle dan voor elke versie die nog een website bedient.
Windows: PHP 8.1 en ouder
Het advies maakt duidelijk dat de drie oude pakketnummers voor Linux gelden. Voor Windows met PHP 8.1 en ouder biedt het alleen een tijdelijke wijziging in de php.ini die de dienst daadwerkelijk laadt:
session.upload_progress.enabled = 0Opslaan, die PHP-dienst herstarten en herhalen voor elke oude PHP op de machine. 宝塔 adviseert deze Windows-installaties over te zetten naar een ondersteunde tak met een passende fix-release. Hetzelfde advies verwijst naar andere onvolledige limieten van PHP, waaronder post_max_size (8M zonder uploads, 32M met uploads) en de waarschuwing memory_limit=-1 niet zonder cgroup- of containerlimiet te gebruiken. Vervang die limiet niet door RLIMIT_AS of RLIMIT_DATA. Details staan op de herstelpagina.
Wat deze pagina niet behandelt
Hetzelfde 宝塔-advies vermeldt ook Node.js-updates (22.23.4, 24.22.1 en 26.12.1 volgens de tabel). Deze briefing behandelt Node.js niet en geeft ook geen exploitstappen of logsignaturen weer. Antwoorden per upstream-tak staan op de pagina’s PHP 8.5, 8.4, 8.3, 8.2 en PHP 5 tot en met 8.1.
Heeft het 宝塔-paneel de fixes voor PHP 8.2 tot en met 8.5 al?
Volgens het advies hebben de Linux- en Windows-panelen 8.2.35, 8.3.36, 8.4.27 en 8.5.12 gesynchroniseerd, en die builds bevatten beide fixes. U moet de update toch installeren voor elke PHP-versie die websites daadwerkelijk gebruiken, en daarna versie en website controleren.
Is PHP 8.0.31 van 宝塔 een officiële PHP-release?
Nee. Volgens het advies heeft PHP geen installeerbare pakketten voor 7.4, 8.0 en 8.1 gepubliceerd, en zijn 7.4.34, 8.0.31 en 8.1.35 宝塔-pakketten voor het Linux-paneel. Lees deze nummers niet als php.net-releases. De versiecontrole van deze website herkent ze niet.
Hoe zit het met PHP 8.1 en ouder onder Windows?
Volgens het advies krijgen deze Windows-builds de drie Linux-pakketnummers niet. Als overbrugging noemt het session.upload_progress.enabled=0 in de daadwerkelijk geladen php.ini en een herstart van die PHP-dienst. 宝塔 zegt dat dit slechts één bevestigd pad van CVE-2026-109619 afzwakt en geen volledige oplossing voor beide CVE’s is.
Waar klik ik?
Log in, open 软件商店, kies 已安装, klik rechtsboven op 更新软件列表 / 支付状态 en daarna bij de PHP-versie van de website op 更新. Maak eerst een back-up. Herhaal dit voor elke geïnstalleerde PHP-versie. De labels komen uit het Chinese advies.
Bronnen
Externe links verlaten deze site. Wij hosten geen exploitcode.
- PHP 与 Node.js 紧急安全更新公告（更新于 2026-10-22） — 宝塔面板 (BT Panel)
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)