cPanel 与 PHP2Shell：是否受影响、怎么修复

如何查看 cPanel 用的 PHP 版本

按你的环境执行下面的命令。同分支内版本不低于 8.2.35、8.3.36、8.4.27 或 8.5.12 即已修复；更老的分支只有厂商明确说明的构建才算修复。

rpm -q --changelog ea-php81-php-cli | grep -i CVE-2026-109618
whmapi1 php_get_vhost_versions
/usr/local/cpanel/cpanel -V

命令行的 php 可能和实际服务网站的 PHP 不是同一个。要确认的话，检查 Web SAPI（放一个需要登录的临时 phpinfo() 页面，或看面板的 PHP 设置），用完删掉。本站的版本检查器可以帮你对比版本号。

🔎 拿到版本号后，可以粘贴到 PHP2Shell 检测工具里核对 →

如何修复 cPanel 中的 PHP2Shell

刷新软件源：yum clean all && yum makecache。
更新：/scripts/rpmup（或 dnf upgrade 'ea-php*'），并更新 cPanel & WHM 本身。
重启 PHP：/scripts/restartsrv_apache_php_fpm 和 /scripts/restartsrv_httpd。
CloudLinux 上改用 alt-php 的站点，还要单独更新 alt-php（见 CloudLinux 页面）。
安装上面列出的厂商修复版本或软件包。
重启所有 PHP 进程（PHP-FPM 进程池、带 mod_php 的 Apache、LiteSpeed lsphp、队列 worker），运行中的进程会把旧 PHP 留在内存里。
再用上面的检查命令确认正在运行的版本。

想让 AI agent 帮你检查？先检查是否受影响 · 用 AI Agent 修复

暂时无法打补丁时

在应用无法覆盖的地方设置 session.upload_progress.enabled = 0（php.ini、FPM 进程池或 Apache 配置里的 php_admin_value），并重启 PHP。
PHP 8.5 上设置 fatal_error_backtraces = 0。
PHP 的临时建议还涉及 memory_limit 和较低的 post_max_size，请严格按修复页面操作，这些设置只能堵住部分路径。
如果跑的是 PHP 8.1 或更早且没有厂商反向移植，限制访问（VPN、IP 白名单）或下线服务。WAF 规则有帮助，但不是修复。

常见问题

cPanel 受 PHP2Shell 影响吗？

装上厂商的修复版之前，仍然受影响。 cPanel 已发布修复的 ea-php74 到 ea-php85（ea-php82 为 8.2.35、ea-php83 为 8.3.36、ea-php84 为 8.4.27、ea-php85 为 8.5.12；7.4–8.1 为打补丁的构建），面板自身用的 PHP 在 11.110.0.153、11.134.0.66、11.136.0.50 和 11.138.0.18 中修复。CloudLinux 的 EasyApache 包覆盖 ea-php52 到 ea-php85。7.4 以前的 PHP，cPanel 建议用 TuxCare ELS。

只更新 cPanel 本身能修复 CVE-2026-109618 和 CVE-2026-109619 吗？

只有更新里包含修复版 PHP 才行。PHP2Shell 是 PHP 解释器的漏洞，关键是 cPanel 运行在哪个 PHP 上。更新后请核对版本。

哪些 PHP 版本修复了 PHP2Shell？

2026 年 10 月 21 日发布的 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。PHP 8.1 及更早版本官方不发新版本，只有带反向移植的厂商构建（或自行用 7.4、8.0、8.1 源码补丁编译）才能修复。

cPanel 还没有修复怎么办？

不要让它基于 PHP 的网页界面暴露在公网（用 VPN 或 IP 白名单），应用 PHP 的临时设置（如关闭 session upload progress），厂商一出更新就安装。临时设置能降低风险，但不是修复。

← 全部内置 PHP 的产品

另见：按平台修复 · 受影响版本 · 厂商状态

来源

出站链接将离开本站。本站不托管利用代码。

这是对公开资料的非官方整理。本站与厂商和 PHP 项目无关，不提供任何利用代码。