针对 PHP CVE-2026-109618、CVE-2026-109619 两项严重安全漏洞，宝塔已同步相关 PHP 安全修复版本，并提供首页风险一键加固功能。用户可结合 Nginx 防火墙、系统加固、防入侵和 PHP 网站安全告警，完成漏洞处置及后续防护。

宝塔是国内首家针对本次漏洞手动适配旧版 PHP 安全补丁的运维面板服务商，并提供独家修复包与面板内更新方案。 目前已为 Linux 的 PHP 7.0、7.1、7.2、7.3、7.4、8.0、8.1 提供安全修复包，帮助仍依赖旧版 PHP 的用户完成本次漏洞修复。其中，PHP 7.0 至 7.3 已支持通过面板软件商店更新；另提供通过 AI 辅助与人工代码对比完成漏洞修复的 PHP 5.6.41 宝塔 AI 修复版，邀请用户协助业务测试。

本次漏洞可能导致未经身份验证的远程代码执行。请受影响用户优先安装 PHP 安全补丁；暂时无法升级的用户，请先执行一键加固，并开启相关防护。具体修复方案及操作步骤如下。

以下安全中心与插件操作以宝塔 Linux 面板为例，Windows 用户请按照下方说明选择 PHP 修复版本。安装 PHP 安全补丁无需先升级面板。

补丁升级仍是必要步骤 首页风险中的一键加固，以及 Nginx 防火墙、系统加固、防入侵、PHP 安全告警等防护措施，都不能完整替代 PHP 安全补丁。开启防护后，仍需完成 PHP 升级。

一、安装 PHP 安全补丁#

安装 PHP 安全补丁无需先升级宝塔面板。Linux 的 PHP 7.0 及以上版本可通过软件商店升级；PHP 5.6.41 宝塔 AI 修复版目前开放测试，安装命令及验证说明见下文。请先检查网站实际使用的 PHP 版本，再选择对应的更新方式。

PHP 安全修复版本#

本次漏洞已提供的修复版本及测试版本如下，请留意各版本的适用说明：

针对已停止 PHP 官方安全维护的 PHP 7.4、8.0、8.1，宝塔已应用 PHP 官方提供的回补补丁，完成 Linux 修复包打包并提供面板内升级，便于仍依赖旧版 PHP 的用户及时处置本次漏洞。Windows 的 PHP 8.1 及更早版本当前需修改配置、禁用相关功能进行临时缓解，并尽快规划迁移至受支持的 PHP 分支及对应安全修复版本。

PHP 7.0 至 7.3 的修复包由宝塔基于 PHP 7.4 的官方补丁逐行比对、回移适配，现已支持面板内更新。 上述旧版 PHP 均已停止 PHP 官方安全维护，仍建议尽快规划迁移至受支持的版本。完整的修复情况和临时配置说明参见 PHP 安全更新公告。

以下步骤与截图以 Linux 面板为例：

1. 进入「软件商店」，选择 已安装。
2. 先单击右上角的 更新软件列表 / 支付状态，获取最新软件信息。
3. 找到网站正在使用的 PHP 分支，单击 更新，按提示安装对应修复版本。
4. 更新完成后，确认对应 PHP 服务已重启；如更新过程没有重启服务，请手动重启，使所有工作进程使用修复后的版本。
5. 检查网站实际使用的 PHP 版本、PHP 扩展加载情况，并验证页面访问、登录、文件上传、数据库连接及其他核心业务功能。

服务器安装了多个 PHP 分支时，请逐一核对仍在使用的版本。只更新其中一个 PHP 分支，不能覆盖其他分支运行的网站。Windows 用户请通过软件商店升级 PHP 8.2 及以上版本，并在升级后核对服务和网站的实际版本。

更新完成后，请检查对应 PHP 服务及版本，确认 PHP 扩展正常加载、网站可以正常访问，并验证登录、文件上传、数据库连接等核心业务功能。

如发现 PHP 扩展异常，请及时恢复升级前的服务器快照。 采用备份方式的用户，请按备份方案恢复升级前的 PHP 环境及配置，恢复后重新检查扩展和网站是否正常。

PHP 5.6.41 宝塔 AI 修复版：邀请用户测试#

宝塔通过 AI 辅助与人工代码对比的方式，修复了 PHP 5.6 中的本次漏洞，并提供 PHP 5.6.41「宝塔 AI 修复版」。 该版本适用于宝塔 Linux 面板管理的 PHP 5.6 环境。

由于宝塔团队目前缺少 PHP 5.6 的实际业务环境，尚未完成真实业务场景下的兼容性与稳定性验证。现邀请仍使用 PHP 5.6 的用户协助测试，帮助我们确认不同业务环境下的运行情况。

该版本开放测试，尚未完成真实业务验证