小皮面板需升级PHP版本至修复版（如8.2.35/8.3.36/8.4.27/8.5.12）以规避PHP2Shell漏洞；确认版本后，更新面板、安装对应PHP修复版、切换并重启服务，再通过phpinfo()和php -v验证；建议关闭非必要模块、启用Web防火墙规则、限制监听地址及禁用远程管理。
小皮面板（phpStudy）本身不直接提供“PHP内核级漏洞热修复”，必须通过升级面板内置的PHP版本来规避PHP2Shell漏洞（CVE-2026-109618/CVE-2026-109619）。该漏洞影响所有未打补丁的PHP 8.2–8.5旧版本，而小皮面板v8.x已集成官方修复后的PHP版本（如8.2.35、8.3.36、8.4.27、8.5.12），升级PHP即等于修复漏洞。
确认当前PHP版本是否受影响
打开小皮面板 → 左侧「软件管理」→ 点击「PHP」标签页 → 查看已安装PHP版本号。若显示为以下任一版本，则必须立即升级：
- PHP 8.5.x 且低于 8.5.12
- PHP 8.4.x 且低于 8.4.27
- PHP 8.3.x 且低于 8.3.36
- PHP 8.2.x 且低于 8.2.35
- PHP 8.1 或更早版本（无官方补丁，必须升至8.2.35及以上分支）
在小皮面板中升级PHP的步骤
确保使用的是小皮面板最新版（v8.2.1.20261025或更高），旧版面板可能未上架修复版PHP：
- 点击右上角「检查更新」，升级面板本体（若提示有新版，请先完成此步）
- 进入「软件管理」→「PHP」→ 找到对应主版本的最新修复版（例如：PHP 8.4.27、PHP 8.5.12）
- 点击该版本右侧「安装」按钮（若已安装旧版，会提示「覆盖安装」，确认即可）
- 安装完成后，点击「设置」→「切换PHP版本」→ 选择新装的修复版 → 点击「确定」
- 重启Apache/Nginx服务（面板首页点「重启」或对应服务旁的「重启」按钮）
验证修复是否生效
升级后需确认运行中的PHP确实是修复版本：
立即学习“PHP免费学习笔记（深入）”；
- 在面板首页点击「网站」→「创建网站」或打开已有站点根目录，新建一个
info.php文件，内容为：<?php phpinfo(); ?> - 浏览器访问
http://localhost/info.php，查看「PHP Version」行是否显示为修复版本（如8.4.27） - 向下滚动至「Configure Command」或搜索「--version」，确认编译时间晚于2026年10月20日（官方修复发布日）
- 可进一步执行
php -v（通过面板终端或系统命令行），输出应含修复版号
额外加固建议
仅升级PHP版本虽可根治PHP2Shell，但结合以下操作可降低风险窗口期：
- 关闭非必要PHP模块（如
session.upload_progress，因蜜罐攻击链明确利用该机制） - 在面板「安全」→「Web防火墙」中启用「POST请求长度限制」和「multipart异常检测」规则（新版小皮已预置相关防护）
- 若仅用于本地靶场（如DVWA），将Apache监听地址改为
127.0.0.1:80而非0.0.0.0:80，避免公网暴露 - 禁用小皮面板默认开启的「远程管理」功能（设置→面板设置→关闭「允许远程访问」）
