宝塔面板存在高危漏洞，需立即卸载phpMyAdmin、升级至7.4.3+、同步修改端口与自定义安全入口、关闭非必要服务、启用WAF拦截模式并验证生效。
宝塔面板被提示高危漏洞，不是「可能被黑」，而是「已经暴露在攻击面下」——尤其当提示涉及 CVE-2026-2187 或「未授权访问 /panel/api/index/get_php_info」时，说明攻击者已具备反向 shell 获取 root 权限的能力。
立即停用 phpMyAdmin 并确认是否受 7.4.2 漏洞影响
凡安装过 phpMyAdmin 的 7.4.2 版本宝塔，存在无需密码直连数据库的鉴权绕过漏洞。这不是配置问题，是代码层缺陷。
- 进「软件商店」→ 找到
phpMyAdmin→ 点「卸载」（不是「停止」）；卸载后检查/www/server/phpmyadmin目录是否已删除 - 若无法登录面板，可 SSH 登录后手动删掉该目录：
rm -rf /www/server/phpmyadmin - 检查当前版本：
bt 10命令输出中看「Panel version」，7.4.2必须升到7.4.3或更高
改端口 + 自定义安全入口必须同步执行
只改端口不设安全入口，或只设入口不改端口，都等于单腿走路——扫描器仍在 4.2 小时内爆破成功。两者缺一不可。
- 新端口建议用五位非常规数，如
8848、92317，避开8080、8443、9000等高频扫描端口 - 安全入口必须启用且自定义，长度 ≥8，含大小写字母+数字，禁用
safe、login、admin等可猜词；推荐用密码管理器生成，如a9F2xQ8m - 改完后旧链接（如
https://IP:8888）立刻失效，新地址格式为https://IP:新端口/安全入口，务必存入密码管理器，别记在便签或聊天记录里
关闭所有非必要远程服务接口
宝塔不是网站容器，它是以 root 权限运行的系统级服务。每个开放的接口都是潜在的 root 入口，尤其是那些默认开启、又极少人工维护的调试/监控模块。
- 进「计划任务」→ 查看
/www/server/panel/data/cron.db，删掉所有含curl、wget、sh -c的任务（特别是来源不明的「测试脚本」） - 进「设置」→「面板设置」→ 关闭「允许发送错误日志给官方」和「启用性能监控」，这两项会主动外连，且曾被用于 C2 通信链路
- 确认 SSH 端口（默认
22）是否对外暴露：若无远程运维需求，直接在防火墙中 DROP 该端口；有需求则改端口+密钥登录+Fail2ban 三件套必须齐备
WAF 必须设为拦截模式，且不能关总开关
当 WAF 日志里频繁出现 XSS 或 SQLi 触发记录，说明已有流量在试探你的站点。此时关 WAF 不是「减少误报」，是主动拆掉门锁。
- 进「安全」→「WAF」→「基础设置」→ 将「防护模式」从「仅记录」改为「拦截」
- 若某后台路径（如
/admin/ueditor/）持续误报，应在「规则白名单」中添加 URL 匹配规则，动作选「放行」，而不是关整个 WAF - 检查 Nginx 配置中是否残留挂马逻辑：搜索
add_header或sub_filter是否注入了ad.tmpl_a9b7.js类似字符串，如有，立即删掉并重启 Nginx
最易被忽略的一点：改完所有配置后，必须手动验证 curl -I http://localhost:8888 和 curl -I https://127.0.0.1:新端口/安全入口，确认旧入口返回 404 或拒绝连接，新入口能正常响应 200 —— 否则你只是「以为改好了」。
