服务器安全 · 实际问题与修复验收
服务器安全专题
查清真正运行的服务，修补后验证业务。这里保留实际做过的运维记录与可检查的工具，不以复制一条命令代替环境判断。
宝塔PHP高危漏洞，怎样修到真正运行的FPM？
从PHP8.2.28到8.2.35：版本与站点绑定、备份、源码校验、隔离编译、模块检查、切换与业务验收。旧5.6实例先核依赖再退役，不能把停止说成升级。
一行启动：先检查，再修复
f=$(mktemp /tmp/baota-php82-fix.XXXXXX) && curl -fL --connect-timeout 15 --max-time 60 https://help.newvhd.com/downloads/baota-php82-security-fix.sh -o "$f" && printf '%s %s\n' bf7d2329df00cf74dd2cfc8aedcaf06f33a8a46634975a755e5f4eeec307da7f "$f" | sha256sum -c - && bash "$f" --apply查看完整脚本 · SHA256：bf7d2329df00cf74dd2cfc8aedcaf06f33a8a46634975a755e5f4eeec307da7f
不立即修改时，下载后使用bash 脚本路径 --check；默认模式只检查。执行成功只验运行时补丁与进程，还须按本站业务验收动态页面、登录、接口、上传和计划任务。脚本失败不要反复并发运行，按私有日志定位。
这个专题的更新标准
后续只增加有真实问题、官方依据、执行记录及恢复验收的维护条目。漏洞修复、配置缓解、旧服务停用和入侵清理分别记录；没有实测结果不写成一键解决。本文不等同于vDisk客户端漏洞公告。