华为云 PHP 修复 PHP2Shell：ECS、Flexus 里的 PHP 要自己升级

华为云服务器受 PHP2Shell 影响吗？

只要服务器上网站用的 PHP 低于所在分支的修复版本，就受影响，和用哪家云无关。PHP 官方说明 PHP-FPM、Apache mod_php 等常见部署方式都在范围内：

华为云的 ECS、Flexus 云服务器 X 实例、Flexus 应用服务器 L 实例都是你自己管理系统和软件的服务器，截至本站核实时，华为云没有说会替用户升级服务器里的 PHP。

怎么查华为云服务器上网站用的 PHP？

先看服务器是用什么镜像或方式装的 PHP：

依据：Flexus L 实例镜像概述列出宝塔面板（支持 PHP 多版本共存及切换）、WordPress、Joomla、PrestaShop 等应用镜像；WordPress 最佳实践写明该镜像基于 Ubuntu 24.04、采用 Docker 部署，预置 Nginx、MySQL、phpMyAdmin、Docker；常见问题写明宝塔面板镜像只装了面板本身，其他应用镜像可登录云主机执行 docker ps 查看默认安装的应用。

应用管理后台的入口：在 Flexus L 实例控制台单击实例卡片，在“概览”页“镜像信息”里单击“管理”（应用管理文档）。

最终以网站实际用的 PHP 为准：WordPress 看 站点健康，其他网站按 查 PHP 版本 操作。WordPress 镜像里的 phpMyAdmin 也是 PHP 程序，同样要核对它用的 PHP。

华为云发布 PHP2Shell 修复或通告了吗？

截至本站核实时未见官方公告。我们查看了 华为云服务公告 的安全公告列表，2026-10-22 核实时最新一条安全公告是 10 月 14 日的微软月度漏洞预警，没有 PHP2Shell 相关内容；Flexus L 实例的应用镜像文档也没有提到 PHP 安全更新。

服务器里的面板各有自己的修复：宝塔官方公告已发布 PHP 7.4 到 8.5 的更新；1Panel 的 1panel/php 镜像已有修复标签。华为云 WordPress 等 Docker 镜像里的 PHP 是否已有修复版本，本站未核实。

华为云上怎么升级 PHP？

按服务器上 PHP 的来源分开处理。

Flexus L 实例宝塔面板镜像：在宝塔“软件商店 → 已安装”里先更新软件列表，再更新网站正在用的 PHP，然后重启该 PHP，步骤见 宝塔 PHP。华为云 常见问题里“管理页面右上角单击更新”升级的是宝塔面板，不是 PHP。

Flexus L 实例 WordPress、Joomla 等 Docker 镜像：截至本站核实时，华为云文档没有给出升级这些镜像里 PHP 的步骤。可以这样处理：

1. 先备份（华为云提供云备份，也可以用 WordPress 自己的备份插件）。
2. 用 docker ps 找到运行网站和 phpMyAdmin 的容器及其镜像，确认镜像的发布方是否已出修复版本；思路见 Docker PHP 镜像。
3. 不熟悉 Docker 的，提交工单问华为云这些镜像的更新计划，确认前先限制访问。

ECS、Flexus X 实例：用你当初安装 PHP 的方式升级。装了宝塔的见 宝塔 PHP，装了 1Panel 的见 1Panel PHP，系统源装的用包管理器更新并确认发行版已出修复包，见 Ubuntu 升级 PHP 和 PHP2Shell 修复。Huawei Cloud EulerOS 软件源里 PHP 包的修复状态，本站未核实。

云商店（KooGallery）镜像：PHP 由镜像里的面板或脚本管理，先确认镜像里用的是哪种面板再按对应方式处理；镜像提供方是否发布更新，本站未核实。

升级后怎么重启和核对？

升级后要让旧的 PHP 进程全部退出：宝塔里重启该 PHP，Docker 镜像要用新镜像重建容器，只拉取新镜像不会替换正在运行的容器。然后：

1. 用 WordPress 站点健康或面板里该网站的 PHP 设置核对版本，不要只看服务器上的 php -v。
2. 网站容器、phpMyAdmin 容器、每个 PHP 版本都要核对。
3. 把结果填进 PHP 版本检测；其他环境回到 PHP2Shell 检测 继续查。

暂时没法升级怎么办？

先做临时缓解，同时尽快排期升级。在网站用的 PHP 配置里按 临时缓解 修改并重启 PHP，这些设置只能挡住部分攻击路径。

Web 应用防火墙也一样，只能在升级前减少暴露，不是修复。华为云文档里 WordPress 镜像的安全组示例放通了 8081（phpMyAdmin）和 3306（MySQL）端口，如果你不需要从外网访问它们，可以在安全组里收紧，少一个暴露面。有用户数据、支付的网站，来不及升级就先暂停或只允许固定 IP 访问。

华为云服务器上的老 PHP（7.x、5.x）怎么办？

PHP 官方只给 7.4、8.0、8.1 提供了源码补丁，没有发布新的安装包；5.6、7.0 到 7.3 没有任何修复。宝塔可以升级到宝塔打包的 7.4.34、8.0.27、8.1.35，1Panel 可以换到 7.4.34、8.0.31、8.1.35 维护标签，但这些分支都已停止官方维护，仍要规划迁移到 8.2 以上；迁不动的先限制访问。见 PHP 停止维护版本。