最准判断方式是确认Web服务实际运行的PHP版本是否低于对应分支修复版：8.2.x需≥8.2.35，8.3.x需≥8.3.36，8.4.x需≥8.4.27，8.5.x需≥8.5.12；CLI版本不等于Web版本，须通过php-fpm -v、phpinfo()或对应SAPI环境验证。
直接看版本号是否低于对应分支的修复版本——这是最准、最简单的判断方式。
查清楚你实际运行的 PHP 版本
命令行执行 php -v 只显示 CLI 版本，不能代表网站真实运行的版本。你需要确认 Web 服务用的是哪一个：
- 如果是 PHP-FPM：运行 php-fpm -v 或查 FPM 配置中指定的二进制路径，再对其执行 php -v
- 如果是 Apache mod_php：用 apachectl -M | grep php 确认模块加载，再在网站根目录放一个 info.php（内容为
<?php phpinfo(); ?>），访问它看“PHP Version”字段，查完立刻删掉 - 如果用的是 LiteSpeed、FrankenPHP 或 php-cgi，同样要进入对应进程环境执行 php -v
对照安全版本表
拿到准确版本号后，按主版本号匹配下表：
- PHP 8.2.x → 安全版本是 8.2.35，低于即受影响
- PHP 8.3.x → 安全版本是 8.3.36，低于即受影响
- PHP 8.4.x → 安全版本是 8.4.27，低于即受影响
- PHP 8.5.x → 安全版本是 8.5.12，低于即受影响
注意：8.2.35 不等于 8.2.35.1，也不等于 8.2.35-1ubuntu1 —— 只要比 8.2.35 小（如 8.2.34、8.2.0、8.2.35rc1）就属于不安全。
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
确认是否处于 Web 服务形态
哪怕版本低于修复版，如果 PHP 只用于本地脚本、定时任务、离线数据处理，且完全不响应 HTTP 请求，风险较低。但只要满足以下任一条件，就必须升级：
- 你的 PHP 进程被 Nginx/Apache/LiteSpeed 调用（如通过 fastcgi_pass 或 LoadModule）
- 你在用 PHP-FPM、mod_php、php-cgi、FrankenPHP 或 LiteSpeed 的 PHP 插件
- 网站能接收 multipart/form-data 类型的 POST 请求（比如上传文件、表单提交）
别信“我用得少所以没事”
PHP2Shell 是预认证 RCE，攻击者不需要登录、不需要知道路径、不需要触发特定功能。一个恶意构造的请求就能在应用代码运行前完成攻击。官方已验证 mod_php 场景下，连 index.php 都没走到就失守；PHP-FPM 同样可被利用。不存在“小站没人扫”“没开上传就安全”的侥幸空间。
