php2shell.help 是谁做的？
这是一个独立的社区项目，不是 PHP 官方网站，也不代表发现 PHP2Shell 的研究人员或任何安全公司。我们没有参与漏洞的发现和修复，只做一件事：把分散在 PHP 官方公告、发行版安全公告、主机商通知和各国官方提醒里的信息，整理成网站运营者能直接照着做的说明。
PHP 官方的安全公告写给 PHP 开发者看。大多数站长真正想知道的是：我的网站受不受影响？我该点哪里、找谁、做到哪一步才算完？这个网站就是为回答这些问题而做的，提供英文、日文、中文等多种语言，照顾有服务器权限和没有服务器权限的两类人。
PHP 版本检测是怎么判定的？
只依据你在 PHP 版本检测 里填写的信息：PHP 版本、运行方式、安装来源，以及可选的发行版软件包版本和临时缓解情况。我们把这些和各分支的首个修复版本、发行版公告里的修复包版本做比较，给出四类结论之一：
- 版本处于受影响范围；
- 版本信息匹配修复版本；
- 需要核实供应商或构建补丁；
- 信息不足，无法判断。
几条原则：
- 不访问你的服务器：不扫描网址，不发送任何探测请求，不运行任何攻击或压力测试。
- 临时缓解不算修复：关掉某个配置、开了 WAF，结论都不会变成“已修复”。
- 命令行结果会单独提示：命令行 PHP 不一定是网站用的那个。
- 结论只针对你填写的这一个 PHP：不代表整台服务器、所有网站都安全，也不代表以前没被入侵。
信息来源的标准是什么？
官方优先：PHP 官方安全公告和 GitHub 安全公告排第一，其次是 Ubuntu、Debian 等发行版和主机商、面板厂商的公告，再次是原始研究报告。各国政府和网络安全机构的公告单独列出。社区讨论只用来了解大家在问什么，不当作事实依据。
每条事实都标注来源和核实日期。查不到的写“未核实”，不推测。内容的每次变化记录在 更新记录 里。
网站的钱从哪来？会不会影响判定？
目前是志愿运营，没有广告，也没有推广链接。将来如果通过明确标注的推广链接、经过筛选的服务转介或捐赠来维持运营，也会遵守以下规则：
- 推广链接在出现的每个页面都明确标注。
- 只推荐已核实完成 PHP2Shell 修复的主机商，并注明核实日期。
- 检测结果区域里不放任何推广内容；任何收入来源都不会影响检测结论和修复建议。
- 不用制造恐慌的说法引导你去找合作方。
网站使用 Google Analytics 统计访问量，详见隐私说明。
发现错误怎么联系你们？
请告诉我们是哪一页、哪里不对，并附上你的依据链接。事实错误会尽快更正，并记录在更新记录里。联系邮箱：[email protected]。
想直接判断自己的网站，回到 PHP2Shell 检测。
依据哪些来源？
来源
本页的核心事实（修复版本、CVE 详情、发行版软件包、官方机构的提醒）都来自官方来源；研究报告、新闻和社区讨论已分别标注。
- Security advisory: Critical remote code execution vulnerabilities, update now官方 The PHP Group
- RCE via OOM corruption官方 The PHP Group
- RCE via stale global state官方 The PHP Group