OpenAI 的 php2shell-checker：怎么运行、结果怎么读

OpenAI 的 php2shell-checker 是什么？

php2shell-checker 是 OpenAI 在 2026 年 10 月 21 日、配合 PHP2Shell（CVE-2026-109618、CVE-2026-109619）协调披露发布的开源工具，采用 Apache 2.0 许可证。它只是一个很短的 Node.js 脚本，有两种模式：

• 网址模式：向网站发 HEAD 请求，从 X-Powered-By 和 Server 响应头里找 PHP 版本；HEAD 被拒绝时才改用 GET，不跟随跳转，也不读页面内容。
• 本机模式：在这台机器上运行 php -v 读取版本。

读到版本后，它和内置的一张表比较：5.4 到 8.5 每个分支最后一个受影响的版本。它不发送任何攻击请求。

怎么运行 OpenAI 的工具？

需要 Node.js，以及从 GitHub 下载的仓库。在仓库目录里运行：

• 在服务器上查命令行 PHP：node phpcheck.js --local
• 查自己的网站：node phpcheck.js "https://你的网站"
• 要机器可读的结果，加上 --json。

网址模式只对自己管理的网站使用。--local 查到的是命令行 PHP，可能和网站在用的 PHP 不是同一个；用 WordPress 的，再到“工具 → 站点健康 → 信息 → 服务器”看一下网站那边的版本。

OK、VULNERABLE、UNKNOWN 分别是什么意思？

UNKNOWN 不代表安全。配置得当的服务器大多会在响应头里隐藏 PHP 版本，所以网址模式经常得到 UNKNOWN。

OpenAI 的工具在哪些情况下会判错？

它只比较版本号，OpenAI 自己也说明 OK 并不独立验证补丁。实际中要注意三种情况：

• 发行版回移补丁：Ubuntu、Debian、Red Hat 等会给旧版本号的 PHP 包打补丁。已修复的 8.3.6-0ubuntu0.24.04.13 仍会被判为 VULNERABLE。见 Ubuntu 升级 PHP。
• 面板自己的版本号：老分支上只要号码高于截止版本就判 OK，哪怕 PHP 官方从没发过这个版本。宝塔和 aaPanel 的修复版是 7.4.34、8.1.35，但 8.0.27 既是宝塔修复版，也是一个不含修复的官方旧版号码。见 宝塔 PHP。
• 响应头：代理或 CDN 可能隐藏或改写 X-Powered-By；一台服务器上也可能跑着多个不同 PHP 版本的网站。

怎么和本站的 PHP2Shell 检测一起用？

把工具的输出直接粘贴到 PHP2Shell 检测 的版本框里：--json 的输出、OK: PHP 8.3.36 这样的一行、php -v 的输出，或 X-Powered-By: PHP/8.3.36 响应头都能识别出版本号。再选择 PHP 的来源（系统软件包、宝塔 / aaPanel、其他主机控制面板等），检测就会把只看版本号判断不了的回移补丁和面板修复版考虑进去。判断只在你的浏览器里进行，粘贴的内容不会发送到任何地方。

修复版本：

结果显示受影响的，按 PHP2Shell 修复 里你的环境操作。升级后再按 网站被黑检测 查一下之前有没有被入侵。