php2shell漏洞影响所有运行未修复php版本的网站与系统，与上层代码无关；wordpress、drupal、joomla、mediawiki等主流cms及apache+mod_php、php-fpm等部署环境均中招，修复需升级至php 8.2.35/8.3.36/8.4.27/8.5.12及以上版本。

PHP2Shell 影响的是所有运行在受影响 PHP 版本上的网站和系统，与上层代码是否规范、框架是否最新无关——只要底层 PHP 引擎没打补丁，风险就真实存在。

受影响的主流 PHP 框架与 CMS

以下平台全部中招，因为它们都依赖 PHP 运行时，而非自身代码缺陷：

• WordPress：全球占比超 43% 的建站系统，无论主题或插件多安全，只要 PHP 版本未更新，即暴露
• Drupal 和 Joomla：企业级 CMS 同样无法规避，漏洞可在请求进入业务逻辑前就被触发
• MediaWiki（维基百科所用）、phpBB、Magento（旧版）、PrestaShop 等基于 PHP 的开源项目全在射程内

所有使用 PHP 的部署环境均需排查

漏洞不挑架构，只看 PHP 版本和运行方式：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

• Apache + mod_php：最危险场景之一，请求关闭流程会直接处理异常内存状态，RCE 利用门槛最低
• PHP-FPM 和 PHP-CGI：工作进程复用机制加剧 CVE-2026-109619（释放后重用）的利用稳定性
• cPanel / Plesk 面板后台、Webmail（如 Roundcube）、主机商控制台等内置 PHP 服务同样受影响
• Windows 平台 上通过 XAMPP、WampServer、宝塔 Windows 版等集成环境部署的站点，只要 PHP 版本低于修复版本，即存在风险

特别容易被忽略的“隐形”目标

这些系统往往长期无人维护，但恰恰是攻击者首选入口：

• 企业内部管理后台、OA、HR 系统（哪怕只用 PHP 输出一个 JSON 接口）
• 营销落地页、活动专题站（静态 HTML+少量 PHP 表单处理）
• 外包开发的老旧官网、政府子站、学校二级域名站点
• Docker 容器中硬编码的 PHP 镜像（如 php:8.2-apache），未及时 rebuild 就等于裸奔

不受影响的情况极少，但需明确边界

目前确认不直接受影响的只有：

• 完全不运行 PHP 的网站（如纯静态 HTML、Node.js、Python 或 Go 后端）
• 已升级至官方修复版本的环境（如 PHP 8.2.35、8.3.36、8.4.27、8.5.12 及更高）
• PHP 6（从未发布，自然不在范围内）

注意：所谓“网站代码没上传文件功能”“没开 POST 接口”不能构成防护——漏洞可通过特制 multipart 请求触发，连 “Hello World” 级别 PHP 页面都可被利用。

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！