宝塔（BT）面板7.4.2版本出现数据库致命漏洞
2026-10-22 20:33:01
宝塔（BT）面板7.4.2版本存在无需密码直接登录PMA的数据库致命漏洞，需立即更新至7.4.3版本修复。
漏洞详情该漏洞允许攻击者通过在服务器IP后添加:888/pma的路径，无需密码直接访问BT面板的phpMyAdmin（PMA），并获得数据库的全部管理权限。攻击者可执行删库、篡改数据等操作，导致不可逆的损失。
受影响版本
Linux系统：7.4.2版本
Windows系统：6.8版本若您的BT面板为上述版本，需立即采取修复措施。
漏洞危害
数据泄露风险：攻击者可直接导出数据库内容，获取用户信息、网站配置等敏感数据。
数据篡改与删除：拥有全部权限的攻击者可修改数据库内容或直接删除数据库，导致网站瘫痪或数据永久丢失。
横向渗透威胁：若数据库中存储了其他系统的登录凭证，攻击者可进一步渗透内网其他服务。
修复方法
升级至最新版本：官方已推送紧急修复版本（Linux为7.4.3，Windows为6.9），升级后:888/pma路径将返回404错误，无法访问。
升级步骤：
登录BT面板，进入“软件管理”或“系统更新”模块。
检查更新并安装最新版本，或通过命令行执行官方提供的升级脚本。
升级完成后，验证:888/pma路径是否已失效。
临时防护措施（升级前）
禁用PMA访问：通过BT面板的“软件管理”临时关闭phpMyAdmin服务，或修改Nginx/Apache配置，禁止对:888/pma路径的访问。
防火墙规则：在服务器防火墙中添加规则，限制外部IP对888端口的访问（仅允许可信IP访问）。
数据库备份：立即备份重要数据库，防止攻击导致数据丢失。
官方通知与行动
官方已通过短信、站内信等方式向用户推送漏洞警告，并提供升级指南。
用户可通过BT面板的“消息中心”或官方社区获取最新安全公告。
后续建议
定期检查更新：保持BT面板及所有组件为最新版本，避免已知漏洞被利用。
安全加固：修改默认端口、启用双因素认证、限制面板登录IP，降低被攻击风险。
监控与审计：开启BT面板的操作日志功能，定期审查异常登录或数据库操作记录。
总结：此次漏洞影响范围广且危害严重，建议受影响用户立即升级至最新版本，并加强服务器安全防护。若暂无法升级，需采取临时措施限制PMA访问，防止数据泄露或被篡改。
热门标签
