[{"data":1,"prerenderedAt":279},["ShallowReactive",2],{"article:\u002Farticles\u002Fzh\u002Fwordpress-php2shell":3},{"article":4,"hasOther":272},{"id":5,"title":6,"author":7,"body":8,"description":254,"extension":255,"faq":256,"labels":269,"meta":270,"metaTitle":271,"navigation":272,"ogImage":273,"path":274,"published":275,"seo":276,"stem":277,"updated":273,"__hash__":278},"articles\u002Farticles\u002Fzh\u002Fwordpress-php2shell.md","面对 PHP2Shell，我的 WordPress 网站安全吗？","Jasper",{"type":9,"value":10,"toc":242},"minimark",[11,15,20,23,26,29,33,36,39,43,46,63,66,70,93,96,156,159,162,166,169,175,178,181,185,188,192,195,204,207],[12,13,14],"p",{},"要等负责你 server 的人更新 PHP，才算安全。PHP 是你的 server 用来运行 WordPress 的软件，而 PHP2Shell 是 PHP 本身的漏洞。更新 WordPress、主题或插件都修不好它。先查你的网站用哪个 PHP 版本，再去向你的 server 供应商确认，patch 安装好了没。",[16,17,19],"h2",{"id":18},"php2shell-是什么","PHP2Shell 是什么？",[12,21,22],{},"PHP2Shell 是 PHP 里两个漏洞的名称，PHP 团队在 2026 年 10 月 21 日修补了它们。编号是 CVE-2026-109618 和 CVE-2026-109619，PHP 团队给两个漏洞的评分都是 9.2 分（满分 10 分）。",[12,24,25],{},"攻击者不用登录，就能利用它们在你的 server 上运行自己的程序。这样一来，他们可以改你的网页，读取你的资料，例如顾客通过表格提交的个人信息，或者留下一个暗门以后再回来。",[12,27,28],{},"攻击已经开始了。Cloudflare 在 10 月 21 日表示，已经看到早期的攻击。英国国家网络安全中心要求各机构立刻更新 PHP，做不到的话，就先让系统下线。",[16,30,32],{"id":31},"php2shell-是-wordpress-的漏洞吗","PHP2Shell 是 WordPress 的漏洞吗？",[12,34,35],{},"不是。它是 PHP 的漏洞，而每一个 WordPress 网站都运行在 PHP 上。Joomla、Drupal 网站和 WooCommerce 网店也一样。PHP 团队说，所有提供网页的 PHP 安装都有风险。",[12,37,38],{},"所以更新 WordPress 没有用。WordPress 是程序，PHP 是运行这个程序的东西。不管程序更新多少次，底下的 PHP 还是不变。",[16,40,42],{"id":41},"谁要负责修补","谁要负责修补？",[12,44,45],{},"负责 server 的人。大部分小生意的网站，是以下两种情况之一：",[47,48,49,57],"ul",{},[50,51,52,56],"li",{},[53,54,55],"strong",{},"你的 server 供应商","，如果你每年付 server 费，用 cPanel 之类的控制面板登录。共享 server 上你没办法自己更新 PHP，只能由 server 供应商来做。",[50,58,59,62],{},[53,60,61],{},"你的程序员或代理公司","，如果他们把网站放在独立的 server 上，例如 DigitalOcean 或 AWS。",[12,64,65],{},"如果你不知道是哪一个，这个星期就去问清楚。没有人负责 server 的网站，就是会一直暴露在风险里的网站。",[16,67,69],{"id":68},"怎样查我的网站用哪个-php-版本","怎样查我的网站用哪个 PHP 版本？",[12,71,72,73,76,77,80,81,84,85,88,89,92],{},"在 WordPress 后台，进入 ",[53,74,75],{},"工具","（Tools），再进入 ",[53,78,79],{},"站点健康","（Site Health），点 ",[53,82,83],{},"信息","（Info）标签。打开 ",[53,86,87],{},"服务器","（Server）部分，找 ",[53,90,91],{},"PHP 版本","（PHP version）。",[12,94,95],{},"PHP 官方修补了这些版本：",[97,98,99,112],"table",{},[100,101,102],"thead",{},[103,104,105,109],"tr",{},[106,107,108],"th",{},"你的网站用",[106,110,111],{},"至少要更新到",[113,114,115,124,132,140,148],"tbody",{},[103,116,117,121],{},[118,119,120],"td",{},"PHP 8.5",[118,122,123],{},"8.5.12",[103,125,126,129],{},[118,127,128],{},"PHP 8.4",[118,130,131],{},"8.4.27",[103,133,134,137],{},[118,135,136],{},"PHP 8.3",[118,138,139],{},"8.3.36",[103,141,142,145],{},[118,143,144],{},"PHP 8.2",[118,146,147],{},"8.2.35",[103,149,150,153],{},[118,151,152],{},"PHP 8.1 或更旧",[118,154,155],{},"PHP 官方不再更新，看下文",[12,157,158],{},"版本号不能说明一切。Ubuntu、Debian、Red Hat 这些 Linux 供应商安装 patch 时，常常不改版本号，而且他们比公众更早拿到这次的 patch。版本号低一点，也可能已经安全。旧 server 上的版本号高一点，也可能还没装。查版本只是让你知道该问什么，答案要由 server 供应商给你。",[12,160,161],{},"PHP 8.1 和更旧的版本，已经不会再收到 PHP 官方的更新。因为这次的漏洞太严重，PHP 团队为 7.4、8.0 和 8.1 发布了基本的 patch，但还是要有人把它装到你的 server 上。如果你的网站显示 8.1 或更低，这是你要先跟 server 供应商提的事。",[16,163,165],{"id":164},"我该向-server-供应商确认什么","我该向 server 供应商确认什么？",[12,167,168],{},"把这段话发给他们：",[170,171,172],"blockquote",{},[12,173,174],{},"我 server 上的 PHP 有没有针对 PHP2Shell（CVE-2026-109618 和 CVE-2026-109619）更新？patch 是已经安装好了，还是只是排了时间？",[12,176,177],{},"要问安装好了没，不是问有没有计划。如果他们暂时装不了，问他们你的网站要不要先下线。如果你的网站用 PHP 8.1 或更旧的版本，问他们什么时候会帮你换到仍有更新的版本。",[12,179,180],{},"换到新版 PHP 之后，打开你的网站，检查重要的页面，例如联系表格、网店和结账页面。旧插件在新版 PHP 上有时会失灵。",[16,182,184],{"id":183},"如果我的网站有用-cloudflare-呢","如果我的网站有用 Cloudflare 呢？",[12,186,187],{},"Cloudflare 已经针对已知的攻击方式加了拦截规则，所有方案都有，包括免费方案。这有帮助，但只是暂时的。PHP 团队说，只有更新 PHP 才能完全保护网站。Cloudflare 能替你的 server 供应商争取时间，但取代不了更新。",[16,189,191],{"id":190},"如果根本没有人在管我的网站呢","如果根本没有人在管我的网站呢？",[12,193,194],{},"那这才是真正的问题，比 PHP2Shell 更大。server 供应商会给自己的 server 打 patch。可是如果网站放在以前的程序员架设的 server 上，之后再也没人碰过，就不会有任何人去修。",[12,196,197,198,203],{},"我们的",[199,200,202],"a",{"href":201},"\u002Faudit","免费网站检查","会从外面检查老板通常看不到的地方，包括 WordPress、主题和每一个插件是不是最新版本。我们没办法从外面读到你 server 的 PHP 版本，但可以告诉你该找谁，以及该问什么。",[16,205,206],{"id":206},"资料来源",[47,208,209,218,226,234],{},[50,210,211,212],{},"PHP，《Security advisory: Critical remote code execution vulnerabilities, update now》，2026 年 10 月 21 日。",[199,213,217],{"href":214,"rel":215},"https:\u002F\u002Fwww.php.net\u002Farchive\u002F2026.php#2026-10-21-5",[216],"nofollow","php.net\u002Farchive\u002F2026.php#2026-10-21-5",[50,219,220,221],{},"PHP，《Upcoming Critical PHP Security Release》，2026 年 10 月 20 日。",[199,222,225],{"href":223,"rel":224},"https:\u002F\u002Fwww.php.net\u002Farchive\u002F2026.php#2026-10-20-1",[216],"php.net\u002Farchive\u002F2026.php#2026-10-20-1",[50,227,228,229],{},"BleepingComputer，《PHP ships emergency patches for critical PHP2Shell flaws》。",[199,230,233],{"href":231,"rel":232},"https:\u002F\u002Fwww.bleepingcomputer.com\u002Fnews\u002Fsecurity\u002Fphp-ships-emergency-patches-for-critical-php2shell-flaws\u002F",[216],"bleepingcomputer.com\u002Fnews\u002Fsecurity\u002Fphp-ships-emergency-patches-for-critical-php2shell-flaws",[50,235,236,237],{},"Malwarebytes，《PHP2Shell: Why websites are going offline for emergency security updates》。",[199,238,241],{"href":239,"rel":240},"https:\u002F\u002Fwww.malwarebytes.com\u002Fblog\u002Fbugs\u002F2026\u002F10\u002Fphp2shell-why-websites-are-going-offline-for-emergency-security-updates",[216],"malwarebytes.com\u002Fblog\u002Fbugs\u002F2026\u002F10\u002Fphp2shell-why-websites-are-going-offline-for-emergency-security-updates",{"title":243,"searchDepth":244,"depth":244,"links":245},"",2,[246,247,248,249,250,251,252,253],{"id":18,"depth":244,"text":19},{"id":31,"depth":244,"text":32},{"id":41,"depth":244,"text":42},{"id":68,"depth":244,"text":69},{"id":164,"depth":244,"text":165},{"id":183,"depth":244,"text":184},{"id":190,"depth":244,"text":191},{"id":206,"depth":244,"text":206},"要等你的 server 供应商更新 PHP 才算安全。更新 WordPress 修不好 PHP2Shell。先查你的 PHP 版本，再向 server 供应商确认一件事。","md",[257,260,263,266],{"q":258,"a":259},"更新 WordPress 能修好 PHP2Shell 吗？","不能。PHP2Shell 是 PHP 的漏洞，而 PHP 是你的 server 用来运行 WordPress 的软件。更新 WordPress、主题或插件都不会改变 PHP。必须由负责你 server 的人来更新。",{"q":261,"a":262},"我的网站这个星期停机维护了，是不是被黑了？","不一定。很多 server 供应商在安装 PHP 的 patch 时，会让网站暂时下线。单单停机不代表有人入侵。去向你的 server 供应商确认，这次维护是为了什么。",{"q":264,"a":265},"我的 Wix、Squarespace 或 Shopify 网站会受影响吗？","在这些平台上，server 由平台负责，不是你。你这边没有东西需要更新。",{"q":267,"a":268},"我的网站用的是 PHP 7.4，怎么办？","PHP 官方已经不再更新 8.1 和更旧的版本。有些 server 供应商和 Linux 供应商仍会为旧版本提供 patch，所以先去向你的 server 供应商确认，你的 server 有没有装上。如果没有，请他们把你换到 PHP 8.2 或更新的版本。换版本之后要测试网站，因为旧插件在新版 PHP 上有时会失灵。",false,{},"面对 PHP2Shell，你的 WordPress 网站安全吗？",true,null,"\u002Farticles\u002Fzh\u002Fwordpress-php2shell","2026-10-22",{"title":6,"description":254},"articles\u002Fzh\u002Fwordpress-php2shell","zqJrqxcXIVTejrQ5IcBxdf10_icA4HxJAG_rWloPnZc",1792645003813]