必须升级PHP子版本修复CVE漏洞，如7.4升至7.4.35、8.2升至8.2.25+，再切换网站绑定并验证phpinfo()版本，最后加固disable_functions等配置。
直接在宝塔面板升级 PHP 修复漏洞，核心是「换版本」而非「打补丁」——因为 PHP 的安全漏洞（如 CVE-2026-109618/109619）必须通过升级到官方已修复的子版本来解决，旧主版本（如 7.4、8.2）无法原地热修复。
确认漏洞影响并选对目标版本
先看自己用的是哪个 PHP 版本：进「软件商店 → 已安装」，找到当前启用的 PHP（比如 PHP 7.4.33 或 PHP 8.2.15）。对照以下已知修复情况：
- PHP 7.4：需升至 7.4.35（宝塔特供修复版，含 CVE 补丁）
- PHP 8.2：官方已更新至 8.2.25+，宝塔软件商店中显示为“PHP-8.2.25(含2026年10月安全补丁)”
- PHP 8.4/8.5：优先选带“(含安全补丁)”标识的子版本，如 8.4.2 或 8.5.12
不建议停留在无补丁的旧子版本，哪怕主版本号看起来够新。
在软件商店极速安装修复版
这是最稳妥、无需编译的操作方式：
立即学习“PHP免费学习笔记（深入）”；
- 进入「软件商店 → 运行环境」，找到你当前使用的 PHP 条目（如 PHP 8.2）
- 点击右侧「设置」→ 切换到「版本」选项卡
- 若出现带补丁标识的新子版本（如 8.2.25），点击「极速安装」
- 勾选「覆盖安装同主版本」，确保配置和扩展继承过来
- 安装完成后，进「PHP 管理」→ 点开新版本 → 点「重启」，确认状态为“运行中”
切换网站绑定并验证真实生效
只装了新版不等于漏洞修复完成，必须让网站真正跑在它上面：
- 进「网站」→ 找到对应站点 → 「设置」→ 「PHP版本」下拉选择刚装好的新版（如 PHP 8.2.25）→ 提交
- 提交后立刻点「重载配置」（Nginx）或「重启 PHP 服务」（Apache）
- 检查站点根目录下的 .user.ini 文件：若有
php_version=74或open_basedir锁定旧路径，需手动删掉或更新 - 新建
info.php内容为<?php phpinfo(); ?>，浏览器访问，确认页面顶部显示的版本号和 Zend Engine 版本都匹配新子版本
额外加固动作不能少
升级只是第一步，防止被绕过还需收紧环境：
- 进该 PHP 版本的「设置 → 配置修改」，把
disable_functions补全：exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec - 确认
allow_url_include = Off、display_errors = Off、expose_php = Off - 检查「安全」→ 「PHP 安全告警」是否开启，实时拦截危险函数调用
- 如果还在用 phpMyAdmin，务必卸载——7.4.2 及更早版本存在鉴权绕过漏洞，且无法通过 PHP 升级修复
