腾讯云 PHP 修复 PHP2Shell：服务器里的 PHP 要自己升级

腾讯云服务器受 PHP2Shell 影响吗？

只要服务器上网站用的 PHP 低于所在分支的修复版本，就受影响，和用不用腾讯云无关。腾讯云风险通告把 PHP2Shell 定为“高风险”，受影响范围与 PHP 官方一致：

截至本站核实时，腾讯云没有说会替用户升级服务器里的 PHP。轻量应用服务器应用镜像使用说明写明，腾讯云保障实例、操作系统和预装软件能正常启动运行，用户在系统上安装的应用程序由用户自行负责，保障范围里没有替用户升级预装软件。CVM 上的 PHP 更是由你自己安装和维护。

怎么查腾讯云服务器上网站用的 PHP？

先看服务器是用什么镜像或方式装的 PHP，再去对应的地方看：

依据：WordPress 应用模板文档写明“WordPress 应用镜像集成了宝塔 Linux 面板”；1Panel 应用模板文档给出“网站 > 运行环境”的入口；CVM 安装宝塔 Linux 面板说明了在 CVM 上自己安装宝塔的方式。

不管哪种，最后都要以网站实际用的 PHP 为准：WordPress 看 站点健康，其他网站按 查 PHP 版本 操作。服务器上运行 php -v 只能作参考，命令行和网站可能不是同一个 PHP。

如果你的网站跑在腾讯云的托管建站类产品（虚拟主机、云建站）上，本站在腾讯云文档中心没有找到由用户切换 PHP 版本的说明。这类产品的 PHP 不由你管理，请提交工单确认 PHP2Shell 的处理情况。

腾讯云发布 PHP2Shell 修复或通告了吗？

发布了通告，没有发布替用户升级的修复。腾讯云风险通告（2026-10-21）要点：

• 风险等级：高风险；安全版本为 8.2.35、8.3.36、8.4.27、8.5.12 及以上。
• 修复建议：评估业务是否受影响后升级到安全版本，升级前做好数据备份。
• 腾讯云产品：T-Sec 主机安全已支持检测，T-Sec Web 应用防火墙、云防火墙已支持防护。
• 通告没有提到轻量应用服务器、应用镜像或虚拟主机。

服务器里装的面板各有自己的修复：宝塔官方公告已发布 PHP 7.4 到 8.5 的更新；1Panel 的 1panel/php 镜像已有修复标签。宝塔腾讯云专享版是否与普通版同时推送 PHP 更新，本站未核实，以软件商店里是否出现更新为准。

腾讯云上怎么升级 PHP？

按服务器上 PHP 的来源分开处理。

轻量应用服务器的宝塔、WordPress 模板：在宝塔面板的“软件商店 → 已安装”里先更新软件列表，再更新网站正在用的 PHP，然后重启该 PHP。完整步骤见 宝塔 PHP。腾讯云文档里给宝塔专享版的升级命令只升级面板，不等于升级了 PHP。

轻量应用服务器的 1Panel 模板：在 1Panel 的“网站 → 运行环境”里创建修复版本的 PHP 运行环境，再把网站切换过去。步骤见 1Panel PHP。

CVM 或系统镜像上自己装的 PHP：用你当初安装 PHP 的方式升级。系统源装的，用包管理器更新 PHP 包并确认发行版已出修复包，见 Ubuntu 升级 PHP 和 PHP2Shell 修复；TencentOS、OpenCloudOS 软件源里的 PHP 包是否已修复，本站未核实。

重新建一台新实例行不行？ 腾讯云文档说应用镜像会不定期更新、以购买页为准。新模板里的 PHP 是不是修复版本，本站未核实，新建后同样要核对，不能默认已经安全。

升级后怎么重启和核对？

升级后要重启 PHP-FPM（宝塔里重启该 PHP，1Panel 里等运行环境重建完成），让旧进程全部退出，否则还在用旧代码。然后：

1. 用 WordPress 站点健康或面板里该网站的 PHP 设置核对版本，不要只看 php -v。
2. 服务器上有几个 PHP 版本、几个面板，就逐一核对。
3. 把结果填进 PHP 版本检测；还用了其他环境的，回到 PHP2Shell 检测 继续查。
4. 如果服务器开着 T-Sec 主机安全，可以再看它的漏洞检测结果，确认没有遗漏的 PHP。

暂时没法升级怎么办？

先做临时缓解，同时尽快排期升级。可以在网站用的 PHP 配置里按 临时缓解 修改，保存后重启 PHP；这些设置只能挡住部分攻击路径。

已经购买 T-Sec Web 应用防火墙或云防火墙的，保持防护开启，但 WAF 不是修复，只能在升级前减少暴露。有用户数据、支付的网站，来不及升级就先暂停网站或只允许固定 IP 访问。不要把服务器、面板的账号密码交给自称“技术支持”的陌生人。

腾讯云服务器上的老 PHP（7.x、5.x）怎么办？

PHP 官方只给 7.4、8.0、8.1 提供了源码补丁，没有发布新的安装包；5.6、7.0 到 7.3 没有任何修复。用宝塔的可以升级到宝塔打包的 7.4.34、8.0.27、8.1.35，用 1Panel 的可以换到 7.4.34、8.0.31、8.1.35 维护标签，但这些分支都已停止官方维护，仍要规划迁移到 8.2 以上。迁不动的先限制访问。见 PHP 停止维护版本。