阿里云 PHP 漏洞（PHP2Shell）：ECS、轻量服务器、云虚拟主机怎么修

阿里云上的网站受 PHP2Shell 影响吗？

只要网站用的 PHP 低于所在分支的修复版本，就受影响。阿里云官网安全公告将其定为“高风险”，说明 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 等处理 Web 请求的部署方式在一定条件下都会受影响。阿里云漏洞库把 PHP2Shell 的两个漏洞都定为“严重”，阿里云评分 9.7（AVD-2026-109618、AVD-2026-109619）。修复版本：

阿里云轻量应用服务器的几款应用镜像，官方文档写的预装 PHP 本身就在停止维护的分支上，见下文。

怎么查阿里云上网站用的 PHP？

按产品和镜像分开看：

依据：轻量应用服务器镜像列表列出 BT-Panel 阿里云专享版 9.2.0、1Panel 1.10.x，并写明 LNMP 7.4 镜像预装 PHP 7.4、WooCommerce 镜像底层为 PHP 8.0.26、Typecho 和 Nextcloud 镜像预装 PHP 7.4；LAMP 镜像文档说明可在“应用详情”页查看应用信息，LAMP 7.4 镜像在 /data/wwwroot/default 下预置了 phpinfo.php。这些镜像会更新，以控制台购买页为准。

最终以网站实际用的 PHP 为准：WordPress 看 站点健康，其他网站按 查 PHP 版本 操作。LAMP 镜像里的 phpinfo.php 看完版本后建议删除，它会把服务器配置公开给任何访问者。

阿里云发布 PHP2Shell 修复或通告了吗？

发布了通告，没有发布替用户升级服务器 PHP 的修复。阿里云官网安全公告（2026-10-22 01:03）要点：

• 风险等级：高风险；安全版本 8.2.35、8.3.36、8.4.27、8.5.12。
• 修复建议：评估业务影响后尽快升级到对应分支的安全版本；7.4、8.0、8.1 可用 PHP 安全团队的源码补丁自行编译，或找发行版、LTS 服务商获取修复包，并尽快升级到仍在维护的版本。
• 缓解：部署了阿里云 WAF 或云防火墙的保持防护开启，只能降低风险，不能替代修复。

阿里云漏洞库详情页另外写明，云安全中心的应用漏洞功能可以通过采集 php-fpm 版本做比对检测。

截至本站核实时，未见针对云虚拟主机、轻量应用服务器应用镜像的单独公告。服务器里的面板另有修复：宝塔官方公告已发布 PHP 7.4 到 8.5 的更新，1Panel 的 1panel/php 镜像已有修复标签。宝塔阿里云专享版是否与普通版同时推送，本站未核实，以软件商店里是否出现更新为准。

阿里云上怎么升级 PHP？

轻量应用服务器 BT-Panel（宝塔）镜像：在宝塔“软件商店 → 已安装”里先更新软件列表，再更新网站正在用的 PHP，然后重启该 PHP。步骤见 宝塔 PHP。

轻量应用服务器 1Panel 镜像：阿里云文档里的 1Panel 镜像是 1.10.x，属于 1Panel v1。1Panel 的 v1 修复版本包 2026-10-22 才加入应用商店，官方提交说明提示兼容性未全部验证，建议先建一个修复版运行环境试用，再切换网站。见 1Panel PHP。

轻量应用服务器 LAMP、LNMP、Typecho、Nextcloud 等镜像：预装的是 PHP 7.4 或 8.0，属于停止维护的分支；本站在阿里云文档中没有找到这些镜像升级 PHP 的说明。比较稳妥的做法是在新环境（例如宝塔或 1Panel 里的 8.2 以上 PHP）上迁移网站，见 PHP 停止维护版本。

ECS：用你当初安装 PHP 的方式升级。系统源装的，用包管理器更新并确认发行版已出修复包，见 Ubuntu 升级 PHP 和 PHP2Shell 修复；Alibaba Cloud Linux 软件源里 PHP 包的修复状态，本站未核实。云市场镜像按镜像里的面板处理。

云虚拟主机（Linux）：按 阿里云更换 PHP 版本文档：

1. 登录云虚拟主机管理页面，找到主机，单击“操作”列的“管理”。
2. 左侧选择“高级环境设置 → PHP 版本设置”，选择 PHP 版本，单击“保存设置”并确认。
3. 切换生效约需 5 分钟，期间网站仍运行在原版本下。

阿里云文档里的可选版本只写到 8.0、8.2、8.4 这样的分支（各类型可选版本不同），看不出小版本号，切换分支本身不等于修复。阿里云是否已把云虚拟主机的 PHP 更新到修复版本，截至本站核实时未见官方公告，请提交工单确认。仍在 8.0 及更早分支的网站，应尽快换到 8.2 或 8.4 并测试程序兼容性。

升级后怎么重启和核对？

服务器上升级 PHP 后要重启 PHP-FPM（宝塔里重启该 PHP，1Panel 里等运行环境重建完成），让旧进程全部退出。然后：

1. 用 WordPress 站点健康或面板里该网站的 PHP 设置核对版本，不要只看 php -v。
2. 每个 PHP 版本、每个面板都要核对，云虚拟主机等 5 分钟生效后再看。
3. 开了云安全中心的，可以看应用漏洞的检测结果，排查遗漏的 php-fpm。
4. 把结果填进 PHP 版本检测；其他环境回到 PHP2Shell 检测 继续查。

暂时没法升级怎么办？

先做临时缓解，同时尽快排期升级。在网站用的 PHP 配置里按 临时缓解 修改并重启 PHP；云虚拟主机能改哪些 php.ini 参数以控制台为准。

已经购买阿里云 WAF 或云防火墙的保持防护开启，但 WAF 不是修复，阿里云通告也写明不能替代升级。有用户数据、支付的网站，来不及升级就先暂停或限制访问。

阿里云上的老 PHP（7.x、5.x）怎么办？

阿里云通告说明 PHP 8.1 及更早版本已停止官方维护，PHP 官方只给 7.4、8.0、8.1 提供了源码补丁；5.x 和 7.0 到 7.3 没有任何修复。云虚拟主机的可选列表里还有 5.x、7.x，这些分支都应尽快离开。宝塔可升级到宝塔打包的 7.4.34、8.0.27、8.1.35，1Panel 可换到 7.4.34、8.0.31、8.1.35 维护标签，但都只是修了这两个漏洞，仍要规划迁移到 8.2 以上。见 PHP 停止维护版本。