10 月 21 日 PHP 官方披露了 PHP2Shell 漏洞（ CVE-2026-109618 / CVE-2026-109619 ），CVSS 评分 9.2 ，无需登录即可远程执行代码，PHP-FPM 、Apache mod_php 都受影响。我和 AI 一起做了一套修复包，覆盖 PHP 7.0 – 8.1： 7.4 / 8.0 / 8.1：使用 PHP 官方补丁原件 7.0 / 7.1 / 7.2 / 7.3：基于官方 7.4 补丁逐版本移植 每个版本都升级到该分支的最后一个版本（比如 7.3.x → 7.3.33 ），顺带拿到这些年所有已发布的安全修复 配了一个一键脚本，下载后 build 、install 两条命令完成升级： 自动沿用宝塔当初的编译参数重新编译，php.ini 、FPM 配置、redis 等扩展都不动 安装前自动完整备份，任何一步失败都会自动回滚；出问题也可以一条命令手动回滚 每个 PHP 版本的站点只会中断几秒钟 在 Ubuntu 16.04 和 CentOS 7 上，按宝塔的方式装好未打补丁的版本，逐个版本实测过：升级、回滚、FPM 行为测试，以及和未打补丁版本对比的数千个回归测试。
⚠️ 说明： 7.0 – 7.3 的移植补丁没有经过 PHP 官方审核，上线前请先在测试环境验证。 PHP 8.2 及以上直接在宝塔面板里更新即可，不需要这个。
长期还是建议尽快迁移到 PHP 8.2+。开源地址 👉 /ai-market-guide/