如果您拥有 WordPress 网站，请向托管服务商确认服务器是否已安装 PHP2Shell 安全更新。更新 WordPress 和插件并不会修补服务器底层的 PHP。
如果您已经读过 Eat2Die 关于 PHP2Shell、PHP 安全和 WordPress 托管的文章，接下来要做的是确认补丁、检查网站是否正常，并明确由谁维护底层软件。
要点
- PHP2Shell 影响运行 WordPress 的 PHP 软件。
- 托管服务商或服务器管理员需要安装修复程序。
- WordPress 控制台已更新，并不能证明 PHP 已修补。
- Ulement 可以协助检查您的环境、协调所需工作，并在更新后验证网站。
什么是 PHP2Shell？
PHP2Shell 是两个 PHP 严重漏洞的统称。成功利用漏洞后，攻击者可能无需登录即可在受影响的服务器上执行代码。PHP 团队指出，mod_php 配置的风险最高；具体网站是否受影响，取决于其 PHP 运行环境和托管服务商所用的软件包。
PHP 安全公告确认，修复版本于 2026 年 10 月 21 日发布，分别为 8.2.35、8.3.36、8.4.27 和 8.5.12。部分托管服务商使用包含回补修复的供应商软件包，因此只看版本号未必能得到完整答案。
对 WordPress 网站所有者来说，除了网站本身，也要检查托管环境。
安全插件能保护我的网站吗？
安全插件可以在 WordPress 内提供有用的保护，但不能替您在服务器上安装 PHP 更新。
PHP 技术公告确认，有一条攻击路径会在 WordPress 或其插件开始处理请求之前运行。即使安全插件没有报告问题，也应向托管管理方取得确认。
使用 Cloudflare 后，还需要更新 PHP 吗？
外部网站应用防火墙可以在请求到达服务器之前进行检查。Cloudflare 已部署 PHP2Shell 防护规则，但仍要求客户修补 PHP。请服务商确认相关规则已启用，以及直接访问源服务器是否会绕过这些保护。
即使使用 Cloudflare，也需要完成 PHP 更新。
现在应该怎么做？
1. 请托管服务商确认修复情况
先在 WordPress 控制台打开 Tools → Site Health → Info → Server，记录 PHP 版本。中文界面通常对应“工具 → 站点健康 → 信息 → 服务器”。WordPress 站点健康文档介绍了这个页面。联系服务商时附上版本信息，方便对方确认环境，但版本号本身不能证明已安装供应商补丁。
将以下问题发给托管服务商或服务器管理员：
为我网站提供服务的 PHP 运行环境是否已针对 CVE-2026-109618 和 CVE-2026-109619 完成修补？请确认当前生效的 PHP 版本或已修补的供应商软件包、更新完成时间，以及实际处理网站请求的进程是否已运行修补后的版本。
也要包括仍可从公开网络访问的 staging 环境、子域名和旧网站副本。
如果服务器由您自行管理，服务器管理员就要负责这项工作。拥有托管账号，并不代表服务包含服务器维护。
2. 检查备份和恢复安排
确认您有一份近期的网站文件和数据库备份，知道备份存放在哪里，也知道谁有权限恢复网站。
询问上次测试恢复是什么时候。只有经过验证、能够恢复出可运行网站的备份，才真正派得上用场。
3. 测试业务依赖的关键功能
更新完成后，不要只检查首页。
提交咨询表单并确认收到邮件。测试账号登录、文件上传和连接的服务。如果您经营网店，还要测试下单和付款流程。
安排负责人记录测试结果，让这项工作有明确的完成标准。
4. 单独调查可疑活动
如果发现陌生的管理员账号、意外跳转、内容被修改或无法解释的服务器活动，请安排调查。
安装补丁并不能说明网站此前是否遭到入侵。请保留相关日志，并要求技术服务商评估证据。
如果服务商暂时无法修补服务器，该怎么办？
请服务商说明补丁安装时间、已采取的临时保护措施及其限制。如果等待期间的风险无法接受，请管理员评估是否需要在请求到达 PHP 之前限制公开访问。WordPress 维护模式插件无法提供这层隔离。同时安排好网站中断期间的咨询或订单处理方式。
如果旧插件或主题阻碍 PHP 升级，请安排兼容性评估和升级计划。临时限制访问不代表修复已经完成。
网站仍在使用 PHP 7.4 或 8.1，怎么办？
PHP 8.1 及更早版本已不再获得 PHP 项目的常规更新。部分供应商提供回补修复，PHP 也针对本次事件为 7.4、8.0 和 8.1 提供了最小源码补丁。请服务商明确确认已安装的软件包修复了两个漏洞，再安排升级至仍受支持的版本。PHP 安全公告说明了相关选项。
PHP 8.2 将于 2026 年 12 月 31 日结束支持。 该版本可以安装本次安全修复，但升级计划仍需考虑这个期限。选择仍受支持、并与网站及其集成兼容的版本。
Ulement 如何提供帮助
您不必亲自弄清服务器配置。您需要有人确认正在运行的软件、解释风险，并协调适当的处理措施。
Ulement 可以协助：
- 针对性安全检查： 检查网站和托管环境，找出尚未完成的工作，并明确每项工作的负责人。
- 协调更新： 与托管服务商或服务器管理员合作，确认补丁，并检查应用兼容性。
- 验证网站： 更新后测试关键功能，并记录仍存在的问题。
- 持续维护： 制定支持范围，涵盖更新、监控、备份、恢复检查和问题升级，并明确说明基础设施责任。
确定检查范围时，应约定具体交付内容：PHP 和托管环境记录、补丁证据或按优先级排列的待办事项、业务功能测试记录，以及旧软件阻碍更新时的升级计划。持续维护还应明确服务器更新、网站更新和事件升级分别由谁负责。
如需更广泛的支持，可以了解我们的服务器管理和 WordPress 维护服务。我们可以根据现有托管安排和网站负责团队，界定所需工作。
我们仍会在客户项目中遇到这种情况：只剩一台服务器需要打补丁，但负责该账号的联系人已经离职，其他人也无法登录客户的云平台。没有事先约定的访问和升级处理流程，必要的安全工作也可能卡在登录页面。与 Ulement 约定全面托管支持范围，可以明确由谁跟进任务并与客户协调访问权限。云账号仍归客户所有，同时应记录委派访问方式和员工离职时的权限交接流程。
如果现有服务商能够确认修复并提供清楚的证据，请保留记录。如果答复不明确，针对性检查可以先确认需要处理的事项，再决定是否扩大工作范围。
向 Ulement 申请 WordPress 安全检查。 请提供网站地址、托管服务商，以及您收到的任何更新确认，以便我们评估下一步。
资料核对日期：2026 年 10 月 22 日。 PHP 安全公告、CVE-2026-109618 的 PHP 安全公告和 CVE-2026-109619 的 PHP 安全公告。