产品与技术栈 · 托管平台与服务器管理服务

Bluehost 与 PHP2Shell：是否受影响、怎么修复

快速结论

受影响；只有部分版本或组件有修复。

厂商状态: 部分修复
PHP: patched builds deploying · cPanel 8.2–8.5 + 7.4–8.1 backports · CloudLinux/TuxCare backports 5.2–8.5 · Plesk · VPS/dedicated: package update
最近核查: 2026-10-22

Bluehost 状态公告“PHP Updates”（10 月 21 日发布）在最新更新（美国东部时间 10 月 22 日 10:00，即 14:00 UTC）中称，其团队在整个托管基础设施上部署修补后的 PHP 版本已取得重大进展，并首次列出修补版本：cPanel EasyApache 4 上为 PHP 8.5.12、8.4.27、8.3.36、8.2.35，以及供应商回移植版 8.1.34-5、8.0.30-12、7.4.33-19；CentOS 7 / CloudLinux 7 的 CloudLinux EasyApache 4 上为 5.2 至 8.3 各分支的回移植版（如 ea-php83 8.3.35-2.el7.cloudlinux.2、ea-php74 7.4.33-18.el7.cloudlinux.13）；CloudLinux/TuxCare alt-php ELS 的 5.2 至 8.5 版本（如 alt-php85 8.5.11-5、alt-php82 8.2.34-7）；Plesk 的 PHP 8.5.12、8.4.27、8.3.36、8.2.35，以及更新面板自身 PHP 的 Plesk Obsidian 18.0.81 Update 4 / 18.0.80 Update 11；还有 AlmaLinux、Rocky Linux、CentOS Stream、Fedora、Ubuntu 和 Debian 的发行版软件包。许多回移植版沿用较旧的版本号，请比对完整构建字符串。Bluehost 表示，若 phpinfo() 显示的版本与列表一致或更新，网站即已修补、无需操作；自管 VPS 或独立服务器的客户应在控制面板中执行软件包更新，需要操作的客户会收到邮件通知。上一次更新（美国东部时间 10 月 21 日 23:00）称大多数服务器已修补，缓解措施继续保留，可能限制上传大小。未给出完成时间。

如何查看 Bluehost 用的 PHP 版本

按你的环境执行下面的命令。同分支内版本不低于 8.2.35、8.3.36、8.4.27 或 8.5.12 即已修复；更老的分支只有厂商明确说明的构建才算修复。

php -v

命令行的 php 可能和实际服务网站的 PHP 不是同一个。要确认的话，检查 Web SAPI（放一个需要登录的临时 phpinfo() 页面，或看面板的 PHP 设置），用完删掉。本站的版本检查器可以帮你对比版本号。

🔎 拿到版本号后，可以粘贴到 PHP2Shell 检测工具里核对 →

如何修复 Bluehost 中的 PHP2Shell

弄清运行这个应用的 PHP 从哪来：发行版、第三方源（Ondřej Surý、Remi）、主机面板、Docker 镜像，还是主机商。
把那个 PHP 更新到 8.2.35、8.3.36、8.4.27、8.5.12，或带反向移植修复的厂商构建，然后重启所有 PHP worker。
虚拟主机或托管主机上你没法自己打补丁：问主机商是否已部署修复版 PHP，并在面板里把站点切到修复版本。
站点还在 PHP 8.1 或更早版本的话，迁到受支持的分支；PHP 官方对 7.4、8.0、8.1 只发布了源码补丁。

想让 AI agent 帮你检查？先检查是否受影响 · 用 AI Agent 修复

暂时无法打补丁时

在应用无法覆盖的地方设置 session.upload_progress.enabled = 0（php.ini、FPM 进程池或 Apache 配置里的 php_admin_value），并重启 PHP。
PHP 8.5 上设置 fatal_error_backtraces = 0。
PHP 的临时建议还涉及 memory_limit 和较低的 post_max_size，请严格按修复页面操作，这些设置只能堵住部分路径。
如果跑的是 PHP 8.1 或更早且没有厂商反向移植，限制访问（VPN、IP 白名单）或下线服务。WAF 规则有帮助，但不是修复。

常见问题

Bluehost 受 PHP2Shell 影响吗？

受影响；只有部分版本或组件有修复。 Bluehost 状态公告“PHP Updates”（10 月 21 日发布）在最新更新（美国东部时间 10 月 22 日 10:00，即 14:00 UTC）中称，其团队在整个托管基础设施上部署修补后的 PHP 版本已取得重大进展，并首次列出修补版本：cPanel EasyApache 4 上为 PHP 8.5.12、8.4.27、8.3.36、8.2.35，以及供应商回移植版 8.1.34-5、8.0.30-12、7.4.33-19；CentOS 7 / CloudLinux 7 的 CloudLinux EasyApache 4 上为 5.2 至 8.3 各分支的回移植版（如 ea-php83 8.3.35-2.el7.cloudlinux.2、ea-php74 7.4.33-18.el7.cloudlinux.13）；CloudLinux/TuxCare alt-php ELS 的 5.2 至 8.5 版本（如 alt-php85 8.5.11-5、alt-php82 8.2.34-7）；Plesk 的 PHP 8.5.12、8.4.27、8.3.36、8.2.35，以及更新面板自身 PHP 的 Plesk Obsidian 18.0.81 Update 4 / 18.0.80 Update 11；还有 AlmaLinux、Rocky Linux、CentOS Stream、Fedora、Ubuntu 和 Debian 的发行版软件包。许多回移植版沿用较旧的版本号，请比对完整构建字符串。Bluehost 表示，若 phpinfo() 显示的版本与列表一致或更新，网站即已修补、无需操作；自管 VPS 或独立服务器的客户应在控制面板中执行软件包更新，需要操作的客户会收到邮件通知。上一次更新（美国东部时间 10 月 21 日 23:00）称大多数服务器已修补，缓解措施继续保留，可能限制上传大小。未给出完成时间。

只更新 Bluehost 本身能修复 CVE-2026-109618 和 CVE-2026-109619 吗？

只有更新里包含修复版 PHP 才行。PHP2Shell 是 PHP 解释器的漏洞，关键是 Bluehost 运行在哪个 PHP 上。更新后请核对版本。

哪些 PHP 版本修复了 PHP2Shell？

2026 年 10 月 21 日发布的 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。PHP 8.1 及更早版本官方不发新版本，只有带反向移植的厂商构建（或自行用 7.4、8.0、8.1 源码补丁编译）才能修复。

Bluehost 还没有修复怎么办？

不要让它基于 PHP 的网页界面暴露在公网（用 VPN 或 IP 白名单），应用 PHP 的临时设置（如关闭 session upload progress），厂商一出更新就安装。临时设置能降低风险，但不是修复。

← 全部内置 PHP 的产品

另见：按平台修复 · 受影响版本 · 厂商状态

来源

出站链接将离开本站。本站不托管利用代码。

这是对公开资料的非官方整理。本站与厂商和 PHP 项目无关，不提供任何利用代码。