ARTICLE · 1293231
宝塔面板PHP漏洞修复教程:软件商店一键升级修复版
PHP 爆出 CVE-2026-109618/109619 两项高危远程代码执行漏洞，WordPress、WooCommerce 用户受影响。本文手把手教你在宝塔面板通过软件商店一键升级 PHP 安全修复版（8.0.31、8.3.36、7.0.34 等），附版本对照表与升级后测试清单，3 分钟完成网站应急加固。
一、漏洞概况：两项高危 RCE，站长必须重视
近期 PHP 被披露两项严重远程代码执行（RCE）漏洞：CVE-2026-109618 与 CVE-2026-109619。由于大量站点（尤其是腾讯云 WordPress、WooCommerce 镜像用户）通过宝塔面板管理 PHP，攻击者一旦利用成功可直接在服务器上执行任意代码，危害等级高。
宝塔官方已在官网「最新动态」连发三篇安全公告，并为所有受影响的 PHP 版本打包好了安全修复版本——站长无需手动编译，进面板点一下更新即可。
⚠️ 具体漏洞细节与受影响范围以宝塔官方公告及 PHP 官方安全页为准（发布前请再核实一次版本号）。
二、受影响版本与修复版对照
宝塔已同步官方修复进度，常见分支对应关系如下（以你面板内实际提示为准）：
PHP 分支 | 升级目标（安全修复版） |
PHP 8.3 | 8.3.36（宝塔 Linux 安全修复版） |
PHP 8.0 | 8.0.31（宝塔 Linux 安全修复版） |
PHP 7.0 | 7.0.34 |
PHP 7.4 | 以官网公告为准（同样在已安装列表内一键更新） |
原则很简单：每个 PHP 分支升到官方给出的对应修复版，宝塔都会在软件商店里标出来。
三、修复步骤：宝塔面板一键升级（3 分钟）
登录宝塔面板，点击左侧【软件商店】；
切换到【已安装】标签页，这里列出服务器上所有已安装的 PHP 版本（例如 7.0、7.4、8.0）；
找到对应的 PHP 版本，比对公告里的目标修复版（如 8.0.26 → 8.0.31）；
点击版本后面的【更新】按钮，面板会在后台自动完成安装；
看不到更新按钮？ 先点软件商店右上角的【更新】刷新软件源，按钮就会出现；
对其余在用的 PHP 版本（7.0 → 7.0.34、7.4 → 对应版）重复上述操作。
四、两个容易漏掉的检查点
面板自身版本过低：如果你的宝塔面板版本很旧，请先在【首页】把面板本身升级到最新版，再去更新 PHP，否则可能拿不到新软件源；
升级后测一遍应用：等 PHP 更新完成后，打开自己的站点前后台走一遍核心流程（登录、下单、发布），确认扩展兼容、站点正常。
五、常见问题 FAQ
Q：多站点/多 PHP 版本怎么办？逐个分支升级，全部升到对应修复版；站多的话建议列个清单逐项打勾，升级完逐站测试。
Q：直接升大版本行不行？不建议在应急修复时跨大版本升级（如 7.4 → 8.x），老代码可能不兼容。本次先升到同分支修复版，大版本迁移另找维护窗口。
Q：不升级会有什么风险？两项漏洞均为远程代码执行级别，站点存在被直接接管的风险，不建议拖延。
六、总结
这次事件的处理体验其实说明了一件事：用宝塔的站长是幸运的——补丁已经打包好，你要做的只是「软件商店 → 已安装 → 对应版本 → 更新」这一条路径。漏洞应急讲究快，现在就去检查你的 PHP 版本，升级后记得测试应用。
