PHP服务器紧急排查清单：3分钟确认是否存在PHP2Shell漏洞-php教程-PHP中文网

花三分钟就能完成php2shell相关的版本和资产初筛，注意这个初筛没法直接证明漏洞一定能被利用，也不能排除系统已经被入侵的可能。先摸清楚实际运行的解释器和安装包来源，再决定是升级、隔离还是做进一步核实。

PHP 官方网站相关页面截图

第一分钟：找到处理请求的运行环境

先锁定要排查的具体网站或者服务对象，别一上来就在任意终端里直接敲升级命令。顺着域名查背后的主机、代理转发目标和实际运行方式，判断PHP解释器是系统包安装、容器部署，还是托管平台提供的。要是暂时拿不准，先标记成待核实，别靠猜测直接关掉安全告警。

# 当前终端的只读信息，不等同于网页运行环境
command -v php
php -v
php --ini

PHP 官方命令行选项文档包含读取配置文件的选项

一台主机上很可能装了多个PHP版本，得把每一份可执行文件对应的服务都记录下来。网页对接的进程池可能用的是另一个分支的PHP，计划任务也经常写死PHP的完整绝对路径。排查范围至少要覆盖公开站点、对外接口、后台定时任务，还有那些忘了删除的旧测试站。

第二分钟：核对版本门槛与包来源

PHP官方上游发布的首批修复版本分别为 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。核对时要用完整的精确版本字符串比对，别光靠控制台输出的大版本名称就判断已经打了补丁。版本来源和完整构建信息最好一起留存，方便后续其他人复核。

PHP 官方八点三安全发行通知，可用于核对上游修复门槛

不少Linux发行版会在旧基础版本号上回补漏洞修复，不会改动原有大版本号，这时候就得读取完整包号和对应发行版的安全公告。自行编译的PHP版本要核对源码包、打过的补丁和构建记录，只靠响应头或者外部扫描器识别出来的版本号，根本没法完成这一步校验。

检查结果	初筛结论	下一步
上游版本低于修复门槛	需要更新或核实回补	联系包维护者
供应商确认完整回补	包层证据满足	继续验证进程生效
来源和版本无法确认	状态未知	优先限制暴露并取证

第三分钟：把结论交给明确的负责人

记录域名、主机、运行方式、版本和安装来源，能证明修复生效的包号或者官方公告也一并保存，别只用一张终端截图代替全部说明。

btpanel phpsite 宝塔面板PHP网站
宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载
还没修复的公网系统优先安排更新，实在没法马上安装补丁的，由负责人敲定临时维护、访问来源限制或者隔离策略，别光口头通知一下就完事。
包已经完成更新的系统，要检查运行中的进程是不是已经替换、所有副本的版本是不是都一致。如果同时查到可疑文件、陌生外连或者账号异常变动，直接单独开入侵调查流程，不能按普通升级流程直接关工单。

为什么版本初筛与漏洞检测是两回事

PHP2Shell牵涉异常内存处理和跨请求状态，具体攻击路径会受服务模式、应用自身行为和构建环境影响。版本盘点只会告诉你哪些系统应当修补，不能证明某个请求一定能成功利用，也不能证明之前没有攻击者入侵过。把只读盘点和攻击测试混为一谈，很容易给出错误的安全保证。

完整只读脚本：收集最小运行证据

<?php // 本脚本只盘点当前进程；不主动测试漏洞，不请求任何公网主机。
$data = ['php_version'=>PHP_VERSION, 'sapi'=>PHP_SAPI,
    'binary'=>PHP_BINARY ?: '(not available)',
    'ini'=>php_ini_loaded_file() ?: '(none)',
    'scanned_ini'=>php_ini_scanned_files() ?: '(none)',
    'pid'=>getmypid()];
echo json_encode($data,JSON_PRETTY_PRINT | JSON_UNESCAPED_SLASHES), PHP_EOL;

把脚本保存为 quick-inventory.php 再执行就行，示例已经在本地 PHP 8.5.10 WebAssembly 运行时验证过，输出结果只代表当前演示进程的信息。网页环境的诊断接口必须放在可信的管理入口，检查完立刻撤除，避免暴露服务器详细路径。

只读示例的真实运行输出：解释器路径、配置文件和进程上下文的盘点结果