必须升级而非仅修漏洞，因4.9.7-0193已停更，CVE-2023-25727等漏洞无官方补丁，且其依赖PHP 7.4/MySQL 5.7均已过安全支持期；5.2.x才修复漏洞并兼容PHP 8.0+与DSM 7.2+。
phpMyAdmin 4.9 系列（如 4.9.7-0193）已停止主流维护，官方自 2023 年起明确推荐升级至 5.2.x。所谓“平滑迁移”，不是在 4.9 内部打补丁，而是用最小中断完成向安全、兼容版本的切换——因为 CVE-2023-25727 等漏洞在 4.9 中**无官方修复补丁**。
为什么不能只修漏洞，必须升级版本？
phpMyAdmin 4.9 的最后一个版本（4.9.7-0193）发布于 2022 年 3 月，其底层依赖（PHP 7.4、MySQL 5.7 协议栈）已超出安全支持周期。关键事实包括：
- CVE-2023-25727 是一个影响登录认证流程的权限绕过漏洞，仅在
5.2.1-1078及之后版本中被修复； - 4.9 不支持 PHP 8.0+，而 Synology DSM 7.2+ 默认要求 PHP 8.0，强行降级 PHP 会引发 Web Station 或 MariaDB 兼容性断裂；
- 所有针对 4.9 的“手工补丁”均非官方发布，且无法覆盖 XSS 和 SQL 注入链的深层调用路径（如
PMA_getRelations函数族未做输入归一化）。
从 4.9 迁移到 5.2.x 的实操要点
迁移核心是保留数据 + 切换前端，而非重装整个环境。重点注意三处断点：
-
数据库配置隔离：4.9 的
config.inc.php中若硬编码了$cfg['Servers'][$i]['host'] = 'localhost'，需改为'127.0.0.1'（避免 Unix socket 权限冲突）； -
导出时跳过系统表：在 4.9 导出界面勾选“自定义”，取消勾选
mysql、information_schema、performance_schema等库，否则 5.2.x 导入时会报Access denied for user 'pma'@'localhost'； -
权限账户重建：5.2.x 默认启用控制用户（
pma），需在 MariaDB 中手动执行：CREATE USER 'pma'@'localhost' IDENTIFIED BY 'your_strong_pass';<br>GRANT SELECT, INSERT, UPDATE, DELETE ON `phpmyadmin`.* TO 'pma'@'localhost';
再导入create_tables.sql（位于 phpMyAdmin 安装目录sql/下）；
升级后必须验证的两个安全动作
装完 5.2.2-1102 或更高版本，别急着用，先确认：
立即学习“PHP免费学习笔记（深入）”；
- 访问
http://your-nas-ip/phpmyadmin/setup返回 404 —— 若能打开，说明配置文件未禁用 setup 脚本（$cfg['SetupScript'] = false;必须设为false）； - 检查
config.inc.php中是否含$cfg['LoginCookieValidity'] = 3600;（建议 ≤ 1800），避免会话 Cookie 过期时间过长； - 用
curl -I http://your-nas-ip/phpmyadmin/查看响应头，确认含X-Frame-Options: DENY和X-XSS-Protection: 1; mode=block，缺失则需在 Web Station 的反向代理设置中手动添加响应头。
真正的平滑不在于界面是否一样，而在于你能否在 10 分钟内回退到 4.9 的备份快照——所以升级前务必用 mysqldump --all-databases --routines --events > full-backup.sql 备份，并把旧版 phpMyAdmin 目录整体打包存档。4.9 的“稳定”是假象，它的静默状态恰恰是最大风险点。
