宝塔面板：PHP 严重安全漏洞修复及防护方案

针对 PHP CVE-2026-109618、CVE-2026-109619 两项严重安全漏洞，宝塔已同步相关 PHP 安全修复版本，并提供首页风险一键加固功能。用户可结合 Nginx 防火墙、系统加固、防入侵和 PHP 网站安全告警，完成漏洞处置及后续防护。
宝塔是国内首家针对本次漏洞手动适配旧版 PHP 安全补丁的运维面板服务商，并提供独家修复包与面板内更新方案。 目前已为 Linux 的 PHP 7.0、7.1、7.2、7.3、7.4、8.0、8.1 提供安全修复包，帮助仍依赖旧版 PHP 的用户完成本次漏洞修复。其中，PHP 7.0 至 7.3 已支持通过面板软件商店更新；另提供通过 AI 辅助与人工代码对比完成漏洞修复的 PHP 5.6.41 宝塔 AI 修复版，邀请用户协助业务测试。

本次漏洞可能导致未经身份验证的远程代码执行。请受影响用户优先安装 PHP 安全补丁；暂时无法升级的用户，请先执行一键加固，并开启相关防护。具体修复方案及操作步骤如下。

以下安全中心与插件操作以宝塔 Linux 面板为例，Windows 用户请按照下方说明选择 PHP 修复版本。安装 PHP 安全补丁无需先升级面板。
安装 PHP 安全补丁无需先升级宝塔面板。Linux 的 PHP 7.0 及以上版本可通过软件商店升级；PHP 5.6.41 宝塔 AI 修复版目前开放测试，安装命令及验证说明见下文。请先检查网站实际使用的 PHP 版本，再选择对应的更新方式。

PHP 安全修复版本#

本次漏洞已提供的修复版本及测试版本如下，请留意各版本的适用说明：

针对已停止 PHP 官方安全维护的 ​PHP 7.4、8.0、8.1​，宝塔已应用 PHP 官方提供的回补补丁，完成 Linux 修复包打包并提供面板内升级，便于仍依赖旧版 PHP 的用户及时处置本次漏洞。​Windows 的 PHP 8.1 及更早版本当前需修改配置、禁用相关功能进行临时缓解​，并尽快规划迁移至受支持的 PHP 分支及对应安全修复版本。

PHP 7.0 至 7.3 的修复包由宝塔基于 PHP 7.4 的官方补丁逐行比对、回移适配，现已支持面板内更新。 上述旧版 PHP 均已停止 PHP 官方安全维护，仍建议尽快规划迁移至受支持的版本。完整的修复情况和临时配置说明参见 PHP 安全更新公告。