php2shell影响的建站系统，是指所有跑在受影响 PHP 版本上的建站方案，不局限于某一个 CMS。卓创源码网（zhuochuangyun.cn）把官方与研究机构实测确认的平台逐个列出来，并说明国内常见源码生态的处境。
php2shell影响的建站系统：实测确认的 11 个平台
| 平台 | 实测版本 | 确认的利用结果 |
| Magento | 2.4.9 | 未认证远程代码执行 |
| WordPress | 7.1.2 | 未认证远程代码执行 |
| Drupal | 11.4.3 | 未认证远程代码执行 |
| Joomla | （默认安装） | 未认证远程代码执行 |
| Laravel | 13.11 | 未认证远程代码执行 |
| Symfony | 8.1 | 未认证远程代码执行 |
| phpMyAdmin | — | 列入受影响平台清单 |
| Nextcloud | — | 列入受影响平台清单 |
| WHMCS | — | 列入受影响平台清单 |
| php-cgi / FrankenPHP / LiteSpeed 承载的站点 | — | 承载这些运行时的站点同样在范围内 |
| Discuz! / DedeCMS / ThinkPHP 等国内常见源码 | — | 未逐个点名，但运行在同一批受影响版本上 |
php2shell漏洞影响哪些系统？WordPress 要确认哪几个数字
版本判断只看两处：一是 PHP 运行时版本，二是 WordPress 核心版本。
PHP 运行时是这次的主角。WordPress 后台「工具 → 站点健康 → 信息 → 服务器」能看到 PHP 版本，对照 8.5 低于 8.5.12、8.4 低于 8.4.27、8.3 低于 8.3.36、8.2 低于 8.2.35 就是暴露面；8.1 及更早版本官方已停止支持，全部受影响。
WordPress 核心版本只是参考背景。WordPress 官方明确表示本次不需要也不计划发布 WordPress 更新，因为缺陷不在 WordPress 里。
WooCommerce 商城同理，PHP 运行时没修，商城功能再新也挡不住。Wordfence 这类安全插件在 10 月 21 日当天一度短暂不可用，官方说明是在为尚未修补的漏洞部署缓解措施——这本身就说明了位置关系：插件层的防护是在补丁落地之后才起作用的一层。
WordPress php2shell影响：为什么装安全插件完全无效？
因为攻击发生在插件层之前。
这是这次事件和以往插件漏洞时代最大的区别。以往的漏洞触发路径是：请求进入 WordPress → 路由到某个插件 → 插件的某段代码处理参数出错 → 触发漏洞。这条路径上，登录校验、权限判断、参数过滤、函数黑名单、验证码、二次验证都有机会起作用。
这次完全不同。官方对 mod_php 的描述是「未认证请求可以在你的应用代码运行之前触发攻击」。在 Apache mod_php 下，PHP 在自己处理恶意 multipart 上传时就完成了利用，站点代码、插件、主题都还没轮到执行。你装了再多的安全插件，规则都作用在一个更晚的阶段。
这不意味着插件无用，它只是管不到这一层。分清这个边界很重要：这次能起作用的只有换掉运行时，加上边缘层的 WAF 规则作为临时止血，插件更新属于常规加固、排在后面。
Discuz与DedeCMS是否受影响？判断看运行时不看品牌
官方与研究机构的实测清单里没有逐个点名它们，但结论不打折。
判断标准是运行时而不是品牌。Discuz! 3.x、DedeCMS 5.x、ThinkPHP 5.x/6.x 这些源码在 10 月 21 日之前的绝大多数部署，跑的是 PHP 5.6、7.0 到 7.4 区间。Wiz 的研究结论是 PHP 5.4 之后发布的每一个版本都至少受两个漏洞中的一条影响——也就是说这批源码几乎必然在暴露面上。
这批源码的处境比英文生态更被动，有两个叠加原因。一是老版本习惯重，5.6 和 7.0 的站点数量在国内占比不低，而这两个分支连官方回补包都没有，5.4 到 7.3 区间完全没有官方修复。二是交付形态不规范，大量源码包流传时没有写明 PHP 版本要求，接手方装什么版本全看主机商的面板默认。
实际处置上有两条路：能联系到主机商的，让对方把站点迁到 8.3 以上的分支，这类迁移主机商通常愿意做；源码在自己手上且能改的，按这次的处置口径升级运行时并做一次入侵痕迹排查。
怎么给自己的站点做一次正确的风险排序？
按处置顺序排，不按严重程度排。
第一优先是公网可达且运行 mod_php 的站点。官方明确 mod_php 风险最高，因为已演示的攻击能在应用代码执行前触发，而 mod_php 恰好是英文 CMS 站点最常见的部署方式。
第二优先是公网可达的 PHP-FPM 站点。危害相同，只是利用路径落地频率相对低一些，PHP-FPM 在这一点上倾向直接终止 worker 而不是继续走清理流程。
第三是主机侧和工具侧的 PHP：phpMyAdmin、监控后台、网管界面。这些地方通常防护最弱、权限最松，攻击者拿到入口后也最喜欢在这里落脚。
第四是内网与预发环境。风险降低但不为零——内网系统只要能被办公网、VPN 用户或已被攻陷的终端访问到，就能作为横向移动的跳板，而且预发环境常常与生产共用数据库凭据。
最后是纯 CLI 脚本。它不处理 Web 请求，本次漏洞路径主要依赖请求解析和请求生命周期，风险显著降低，但既然是同一个源码包出的版本，统一升级更省心。
PHP建站系统漏洞排查：各系统的第一动作
- WordPress / Drupal / Joomla 站点：查「站点健康」或控制面板里的 PHP 版本，对照四条修复版本线
- Discuz! / DedeCMS / ThinkPHP 站点：先确认 PHP 大版本，7.x 及以下优先安排迁移而不是原地打补丁
- WooCommerce 与其他电商：确认支付回调与订单接口所在的 PHP 实例是否与主站同版本，容器环境要逐个查
- phpMyAdmin 与运维后台：确认是否为独立安装、是否有独立鉴权、是否可从公网直接访问
- 所有站点：核对是否有多个 PHP 版本共存，容器镜像用写死版本标签的写法
- 全部处理完成后统一回查 10 月 20 日之后的日志，并轮换一次凭据
如果你手上的 PHP 源码需要重新部署环境、核对版本要求，或者想按模块挑一套维护状况更好的成品源码，可以先逛卓创源码网按品类对比，再对照[卓创源码网搭建服务价格表]（https://zhuochuangyun.cn/zcymwdjfwjgb/）确认部署与二次开发的工作量。拿不准该选哪套，加微信 ynzckj6666 或 QQ 3894381266，说明你的站点技术栈和当前 PHP 版本就行。
请登录后查看评论内容