面对 PHP2Shell，我的 WordPress 网站安全吗？

要等负责你 server 的人更新 PHP，才算安全。PHP 是你的 server 用来运行 WordPress 的软件，而 PHP2Shell 是 PHP 本身的漏洞。更新 WordPress、主题或插件都修不好它。先查你的网站用哪个 PHP 版本，再去向你的 server 供应商确认，patch 安装好了没。

PHP2Shell 是什么？

PHP2Shell 是 PHP 里两个漏洞的名称，PHP 团队在 2026 年 10 月 21 日修补了它们。编号是 CVE-2026-109618 和 CVE-2026-109619，PHP 团队给两个漏洞的评分都是 9.2 分（满分 10 分）。

攻击者不用登录，就能利用它们在你的 server 上运行自己的程序。这样一来，他们可以改你的网页，读取你的资料，例如顾客通过表格提交的个人信息，或者留下一个暗门以后再回来。

攻击已经开始了。Cloudflare 在 10 月 21 日表示，已经看到早期的攻击。英国国家网络安全中心要求各机构立刻更新 PHP，做不到的话，就先让系统下线。

PHP2Shell 是 WordPress 的漏洞吗？

不是。它是 PHP 的漏洞，而每一个 WordPress 网站都运行在 PHP 上。Joomla、Drupal 网站和 WooCommerce 网店也一样。PHP 团队说，所有提供网页的 PHP 安装都有风险。

所以更新 WordPress 没有用。WordPress 是程序，PHP 是运行这个程序的东西。不管程序更新多少次，底下的 PHP 还是不变。

谁要负责修补？

负责 server 的人。大部分小生意的网站，是以下两种情况之一：

• 你的 server 供应商，如果你每年付 server 费，用 cPanel 之类的控制面板登录。共享 server 上你没办法自己更新 PHP，只能由 server 供应商来做。
• 你的程序员或代理公司，如果他们把网站放在独立的 server 上，例如 DigitalOcean 或 AWS。

如果你不知道是哪一个，这个星期就去问清楚。没有人负责 server 的网站，就是会一直暴露在风险里的网站。

怎样查我的网站用哪个 PHP 版本？

在 WordPress 后台，进入 工具（Tools），再进入 站点健康（Site Health），点 信息（Info）标签。打开 服务器（Server）部分，找 PHP 版本（PHP version）。

PHP 官方修补了这些版本：

版本号不能说明一切。Ubuntu、Debian、Red Hat 这些 Linux 供应商安装 patch 时，常常不改版本号，而且他们比公众更早拿到这次的 patch。版本号低一点，也可能已经安全。旧 server 上的版本号高一点，也可能还没装。查版本只是让你知道该问什么，答案要由 server 供应商给你。

PHP 8.1 和更旧的版本，已经不会再收到 PHP 官方的更新。因为这次的漏洞太严重，PHP 团队为 7.4、8.0 和 8.1 发布了基本的 patch，但还是要有人把它装到你的 server 上。如果你的网站显示 8.1 或更低，这是你要先跟 server 供应商提的事。

我该向 server 供应商确认什么？

把这段话发给他们：

我 server 上的 PHP 有没有针对 PHP2Shell（CVE-2026-109618 和 CVE-2026-109619）更新？patch 是已经安装好了，还是只是排了时间？

要问安装好了没，不是问有没有计划。如果他们暂时装不了，问他们你的网站要不要先下线。如果你的网站用 PHP 8.1 或更旧的版本，问他们什么时候会帮你换到仍有更新的版本。

换到新版 PHP 之后，打开你的网站，检查重要的页面，例如联系表格、网店和结账页面。旧插件在新版 PHP 上有时会失灵。

如果我的网站有用 Cloudflare 呢？

Cloudflare 已经针对已知的攻击方式加了拦截规则，所有方案都有，包括免费方案。这有帮助，但只是暂时的。PHP 团队说，只有更新 PHP 才能完全保护网站。Cloudflare 能替你的 server 供应商争取时间，但取代不了更新。

如果根本没有人在管我的网站呢？

那这才是真正的问题，比 PHP2Shell 更大。server 供应商会给自己的 server 打 patch。可是如果网站放在以前的程序员架设的 server 上，之后再也没人碰过，就不会有任何人去修。

我们的免费网站检查会从外面检查老板通常看不到的地方，包括 WordPress、主题和每一个插件是不是最新版本。我们没办法从外面读到你 server 的 PHP 版本，但可以告诉你该找谁，以及该问什么。

资料来源

• PHP，《Security advisory: Critical remote code execution vulnerabilities, update now》，2026 年 10 月 21 日。php.net/archive/2026.php#2026-10-21-5
• PHP，《Upcoming Critical PHP Security Release》，2026 年 10 月 20 日。php.net/archive/2026.php#2026-10-20-1
• BleepingComputer，《PHP ships emergency patches for critical PHP2Shell flaws》。bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws
• Malwarebytes，《PHP2Shell: Why websites are going offline for emergency security updates》。malwarebytes.com/blog/bugs/2026/10/php2shell-why-websites-are-going-offline-for-emergency-security-updates