WordPress · PHP2Shell

我的 WordPress 网站受 PHP2Shell 影响吗？

很可能受影响，除非你的主机商已经升级了 PHP。WordPress 是公开演示的目标之一，但漏洞在 PHP 里——所以关键是服务器的 PHP 版本，而不是你的 WordPress 版本或插件。

最后核实 2026-10-22

升级 WordPress 修复不了这个问题

PHP2Shell 在 PHP 本身，位于 WordPress 之下。研究人员已在官方镜像 wordpress:latest 上演示了无需认证的远程代码执行。关键在于你的服务器运行的 PHP 版本，而只有管理服务器的人才能升级它。

1. 在 WordPress 中查看 PHP 版本

这里显示的是真正为你的网站提供服务的 PHP，它才是关键。

  1. 登录 wp-admin，打开 工具 → 站点健康。
  2. 切换到 信息 标签页，展开 服务器。
  3. 查看 PHP 版本（例如 “8.3.6 (Supports 64bit values)”）。
  4. 没有管理员权限？很多主机控制台会显示每个站点的 PHP 版本。
命令行（显示的是 CLI 的 PHP——可能与 Web 服务器不同）
wp eval 'echo PHP_VERSION, PHP_EOL;'   # WP-CLI
php -v

2. 对照检查

粘贴版本号、php -v 的输出，或每行一个版本批量检测整批服务器。完全在你的浏览器内运行。

试试：

CLI 和 Web 服务器可能使用不同的 PHP 构建。请检查 Web 服务器实际使用的版本：php-fpm -v（或 php-fpm8.3 -v），或在该站点上访问 phpinfo()。

分支存在漏洞修复版本
8.5< 8.5.128.5.12
8.4< 8.4.278.4.27
8.3< 8.3.368.3.36
8.2< 8.2.358.2.35
8.1 · 8.0 · 7.4全部仅源码回移植
5.4 – 7.3全部无修复

3. 让它被修复

虚拟主机或托管主机

由主机商负责升级 PHP。在主机面板中选择最新的 PHP 版本，然后请主机商确认已打补丁并重启。主机商指南 →

自有服务器、VPS 或容器

由你（或你的开发者）升级 PHP 并重启 PHP-FPM / Apache。修复指南 →

发给主机商的邮件
主题：PHP2Shell（CVE-2026-109618 / CVE-2026-109619）修复情况确认

您好，

请确认运行我的网站 <域名> 的 PHP 运行环境，已经升级到修复
CVE-2026-109618 和 CVE-2026-109619 的版本（PHP 8.2.35 / 8.3.36 /
8.4.27 / 8.5.12，或包含回移植补丁的厂商构建），并且升级后已重启
PHP-FPM / LSAPI worker。

如果我的账户还在使用 PHP 8.1 或更早版本，请告知可以切换到哪个已修复的版本。

谢谢！

WordPress 托管主机

WordPress 托管主机（例如 WP Engine、Kinsta、WordPress.com / Pressable、SiteGround）会替你管理 PHP，大多数会在平台层面统一打补丁，无需你操作。Automattic 是在披露前协助准备指引的行业伙伴之一。

我们没有逐一核实各主机商的修复情况。请查看主机商的状态页或公告，或者把上面的消息发给他们。

插件和主题

没有任何插件会导致或修复 PHP2Shell。停用插件、更换主题或加固 wp-config.php 都不会改变你的暴露情况。安全插件在 PHP 解析完请求之后才运行，那时已经太晚了。

4. 打补丁之后

  • 再次在 WordPress 中查看 PHP 版本——应显示已修复的版本（或请主机商确认是带回移植补丁的构建）。
  • 如果网站已暴露了一段时间，请修改管理员密码和网站配置中保存的 API 密钥，并检查是否有陌生的管理员账号或新出现的 PHP 文件。入侵排查指南 →

常见问题

我的 WordPress 网站受 PHP2Shell 影响吗？+

如果它运行在低于 8.5.12、8.4.27、8.3.36 或 8.2.35 的 PHP 上（且主机商没有安装已修复的软件包），就受影响。WordPress 的版本、主题和扩展都无关紧要——漏洞在 PHP 里。

升级 WordPress 能修复 PHP2Shell 吗？+

不能。WordPress 的更新改的是应用本身，而不是底层的 PHP 运行环境。WordPress 仍要保持更新，但修复需要由管理服务器的人升级 PHP。

攻击者需要管理员账号吗？+

不需要。已演示的攻击都发生在认证之前：不需要登录，不需要特定插件或模块，只要向网站发送 HTTP 请求。

WordPress 自动更新会安装 PHP 补丁吗？+

不会。WordPress 核心和插件的自动更新从不触及 PHP 运行环境。PHP 由主机商或服务器管理员升级。

Wordfence 这类安全插件能保护我吗？+

安全插件运行在 WordPress 内部，此时 PHP 已经解析完请求——对这个漏洞来说太晚了，它们挡不住 PHP2Shell。在网站前面加一层 WAF（例如 Cloudflare）更有用，但真正的修复仍是升级 PHP。

我用的是 WooCommerce，情况更糟吗？+

风险相同，但后果更严重：内存泄露可能暴露 PHP 内存中的客户会话、管理员 Cookie 和支付网关 API 密钥。如果怀疑已暴露，请轮换支付网关密钥。

相关页面