必须升级至PHP 8.2.35/8.3.36/8.4.27/8.5.12等官方修复版本，因PHP2Shell（CVE-2026-109618/109619）是解析器底层内存缺陷，php.ini配置无法根治，小皮面板需新增并切换高版本PHP实例，再验证运行时版本与SAPI是否生效。
小皮面板修复 PHP2Shell 类漏洞（如 CVE-2026-109618/109619 等远程代码执行风险），核心不是“修改某项 PHP 设置”，而是升级到已修复的官方版本——因为这类漏洞属于 PHP 解析器底层逻辑缺陷，仅靠调整 php.ini 参数无法根治。当前（2026年11月）各受影响分支的修复版本明确如下：
- PHP 8.2.x → 升级至 8.2.35
- PHP 8.3.x → 升级至 8.3.36
- PHP 8.4.x → 升级至 8.4.27
- PHP 8.5.x → 升级至 8.5.12
低于上述版本的任意子版本（如 8.4.25、8.5.10）均存在可被利用的风险。
✅ 正确操作路径：安装新版本 + 切换站点
小皮面板不支持对已装 PHP 版本做“就地打补丁”，必须通过新增高版本并切换使用来实现修复。
安装目标修复版（推荐方式）
- 打开小皮面板 → 【软件管理】→【PHP 版本】
- 搜索对应版本号（如
8.4.27nts），确认后缀为 nts（Nginx 环境默认）或 ts（Apache 环境） - 点击【安装】，等待自动完成（约 1–3 分钟）
- 安装成功后，该版本会出现在已安装列表中，状态为“已安装”
手动添加（当软件商店暂未上架时）
- 前往 PHP 官网 Windows 下载页
- 下载对应版本的 Non-Thread-Safe (NTS) x64 + VS17 zip 包（例：
php-8.4.27-nts-Win32-vs17-x64.zip） - 解压到小皮 PHP 根目录（路径见【设置】→【文件位置】→【PHP】，如
D:\phpstudy_pro\Extensions\php\） - 新建文件夹并规范命名（如
php8.4.27nts），确保 php.exe 直接位于该文件夹根目录 - 复制
php.ini-development→ 重命名为php.ini - 编辑
php.ini，设置正确路径：extension_dir = "D:\phpstudy_pro\Extensions\php\php8.4.27nts\ext"
- 取消以下扩展前的分号（保障基础功能）：
-
extension=curl -
extension=mbstring -
extension=mysqli -
extension=openssl extension=fileinfo
-
为网站切换新版并重启
- 左侧进入【网站】→ 找到目标站点 → 【管理】
- 点击【PHP 版本】→ 下拉选择刚装好的版本（如
php8.4.27nts） - 点击【提交】→ 再点击【重启站点】（或单独重启 Nginx/Apache）
? 验证是否真正生效（关键步骤）
仅面板显示“已切换”不代表漏洞已修复，必须验证运行时环境：
立即学习“PHP免费学习笔记（深入）”；
- 在网站根目录新建
check.php，内容为：<?php echo PHP_VERSION . ' | ' . PHP_SAPI;
- 浏览器访问
http://你的域名/check.php，确认输出如8.4.27 | cgi-fcgi - 若仍显示旧版本，请检查：
- 是否选错 PHP 实例（多个同名版本易混淆）
- Web 服务是否真实重启（可尝试先【停止】再【启动】Nginx）
-
phpinfo()中Loaded Configuration File路径是否指向你配置的php.ini
⚠️ 补充提醒：别漏掉面板自身
PHP 升级只是其中一环。小皮面板自身也曾曝出存储型 XSS 引发的 RCE（如通过计划任务执行命令），请同步确认：
- 面板右上角版本号 ≥
v0.103（2026年10月后发布的修复版） - 后台登录地址是否仍带随机码（如
:8888/?code=xxx）；若可直连无校验，说明未更新或已被绕过 - 检查【计划任务】与【系统日志】模块权限是否受限（非管理员不可访问）
不复杂但容易忽略
