PHP 严重漏洞：WordPress 站长先查这 3 件事-西城知道

这两天，你可能也刷到了“PHP 严重漏洞”的消息。如果你的网站用 WordPress，先确认一件事：网站实际运行的 PHP，是否已经打上这次安全补丁。网站还能打开、WordPress 后台没有更新提示，都不能替你回答这个问题。下面把已确认的信息和站长能做的检查整理出来。先查清楚，再安排处理。

01｜这次到底发生了什么？

2026 年 10 月 21 日，PHP 官方发布安全更新，修复 CVE-2026-109618 和 CVE-2026-109619。两项漏洞在特定条件下可导致未经身份验证的远程代码执行，也就是攻击者可能在服务器上运行代码。

官方提醒：处理网页请求的 PHP 安装均应排查，包括 PHP-FPM、Apache mod_php、LiteSpeed 等。不同环境的利用路径有差异，不能因为“我用 Nginx”就跳过检查。

这是 PHP 运行环境的安全问题。仅更新 WordPress、主题或插件，不能代替安装 PHP 修复。

已发布的修复版本：

– PHP 8.2 → 8.2.35
– PHP 8.3 → 8.3.36
– PHP 8.4 → 8.4.27
– PHP 8.5 → 8.5.12

以上为 10 月 21 日修复版本；发布后如有更新，以官方和软件包供应商说明为准。同一分支可安装包含修复的更新版本。部分 Linux 发行版或长期支持供应商会回移补丁，不能只看版本数字下结论，要核对供应商是否明确修复了这两个 CVE。PHP 8.1 及更早版本已不在 PHP 官方常规支持范围；老站应确认供应商补丁，或尽快评估迁移到受支持版本。

02｜先查这 3 件事

① 网站实际用的是哪个 PHP？

进入 WordPress 后台「工具 → 站点健康 → 信息 → 服务器」，查看 PHP 版本；再到主机面板核对该域名绑定的运行环境。界面名称可能因版本、主机而异。请记录完整版本号，例如 8.3.36，而不是只记“PHP 8”。一台服务器可能同时安装多个 PHP，命令行显示的版本也可能与网站实际使用的不同。不要为了截图，把 phpinfo 页面长期暴露在公网。

② 谁负责给它打补丁？

用虚拟主机或托管主机，可以直接把这段话发给服务商：请确认我这个域名实际使用的 PHP，是否已修复 CVE-2026-109618 和 CVE-2026-109619？请提供修复后的版本或补丁公告，并确认运行中的服务已经生效。

自己管理云服务器或宝塔等面板，则需要核对软件源、可用更新和站点绑定。只更新面板本身，不等于网站的 PHP 已修复。

③ 现在有没有能恢复的备份？

至少确认网站文件和数据库都有近期备份，备份存放位置可访问，并有可执行的恢复方法。“显示备份成功”和“确实能恢复”是两回事。对接询盘、会员或订单的站点，还要考虑备份后新增的数据如何保留，避免回滚时丢失业务记录。

03｜要尽快修补，也要防止升级后业务出问题

对于定制主题、老插件较多的网站，建议按下面的顺序处理：

第一步：记录现状并备份。记录 PHP、WordPress、主题和关键插件版本，保存文件、数据库及必要配置，确认回退方式。

第二步：验证兼容性。优先评估当前受支持分支内的安全更新；若必须跨分支升级，先在测试环境检查定制代码、插件和必要扩展。不要把“装了最新版”当作验收。

第三步：上线修复并确认生效。在尽可能短的时间内安排维护窗口，由负责环境的人完成更新及必要的服务重启或重载，再核对网站实际运行的版本或供应商补丁状态。

第四步：走一遍真实业务。检查首页与内页、后台登录、图片上传、询盘表单和邮件；有商城或会员功能的，再测注册、购物车和支付流程，并查看错误日志。

如果测试环境尚未准备好，也不要把“先测试”变成无限期拖延修补的理由。应尽快找主机商或技术人员评估暴露风险与处置顺序。