ThinkPHP漏洞影响范围广，需按类型区分：5.x RCE影响5.0.0–5.0.23、5.1.0–5.1.37；SQL注入影响5.0.13–5.0.15、5.1.0–5.1.7；6.x RCE影响6.0.0–6.0.12（部分至6.0.13）；CVE-2024-44902反序列化漏洞影响6.1.3–6.1.37、8.0.0–8.0.4，修复版为6.1.4+及8.0.5+。

ThinkPHP 漏洞影响范围较广，不同漏洞对应不同版本，需按具体漏洞类型区分：

ThinkPHP 5.x 系列高危漏洞

• RCE（远程代码执行）：v5.0.0–v5.0.23、v5.1.0–v5.1.37
• SQL注入：v5.0.13–v5.0.15、v5.1.0–v5.1.7
• 控制器名绕过：v5.0.5–v5.0.22、v5.1.0–v5.1.30

ThinkPHP 6.x 系列

• RCE：v6.0.0–v6.0.12（部分复现显示影响至 v6.0.13）
• 多语言+pearcmd 远程命令执行：v6.0.0–v6.0.13
• CVE-2024-44902（反序列化）：v6.1.3–v6.1.37、v8.0.0–v8.0.4（官方确认修复于 v6.1.4+ 和 v8.0.5+）

ThinkPHP 8.x 系列

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

立即学习“PHP免费学习笔记（深入）”；

• CVE-2024-44902 主要影响 v8.0.0–v8.0.4
• 官方已发布 v8.0.5+ 修复该反序列化漏洞

ThinkPHP 3.x 与 2.x

• v3.2.x 全版本存在 _method 参数 RCE（如 call_user_func_array 调用）
• v2.x 及部分 Lite 模式 v3.0 仍存在未修复的历史漏洞

注意：低版本（尤其是 5.0/5.1 早期小版本）漏洞密度高、利用门槛低，生产环境应避免使用。当前（2026年10月）最需优先升级的是仍在使用 v8.0.4 或更早 v6/v5 版本的系统。