主机商说 PHP 已经修复了，我还要做什么？

WindowsMac更新

主机商打的补丁更新的是 PHP，也就是它的服务器用来运行你网站的语言。PHP 官方在 2026 年 10 月 21 日发布了这些修复，版本是 8.5.12、8.4.27、8.3.36 和 8.2.35。你自己装在上面的软件是另一回事：WordPress 的安全加固指南说，主机商负责基础设施，但不对你选择安装的应用程序负责。本文信息截至 2026 年 10 月 23 日。

简要回答

主机商的补丁覆盖的是它服务器上的 PHP。在你自己的账户里，还要更新 WordPress 或其他建站程序，以及插件和主题；确认每个网站实际用的是哪个 PHP 版本，因为 cPanel 允许每个域名用不同的版本；按 NCSC 的建议检查有没有被入侵的迹象，发现异常就改密码。

主机商的 PHP 补丁管到哪里？

管的是 PHP 本身。PHP 官方 10 月 21 日的公告说，CVE-2026-109618 和 CVE-2026-109619 两个漏洞影响所有处理网页请求的 PHP，可能导致未经身份验证的远程代码执行，说白了就是别人不用登录就可能在服务器上运行自己的代码。公告点名了 PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP 和 LiteSpeed，这些都是服务器软件，所以在虚拟主机或托管主机上，这项更新归主机商负责。

这个补丁不会更新 WordPress、主题或插件。它们有各自的更新。

关于利用情况，截至 2026 年 10 月 23 日：美国 CISA 10 月 21 日的警报（10 月 23 日修订）说，截至发布时，它没有观察到这些漏洞在实际环境中被成功利用。国家互联网应急中心（CNCERT）说，漏洞技术细节与 PoC 已广泛传播。新加坡网络安全局（CSA）说，已有针对这些漏洞的大范围利用尝试的报告。PHP 公告则说，针对 Apache 的 mod_php 已有可用的攻击演示，这也是它认为风险最高的环境。

WordPress、插件和主题还要我自己更新吗？

要。WordPress 的安全加固指南说，要始终把 WordPress 保持在最新版本，旧版本不会再得到安全更新。它对插件也是同样的建议，并说不用的插件要删掉。按 WordPress 更新指南的建议，先做好备份。

  1. 登录后台，进入“仪表盘 > 更新”。
  2. 如果列出了新的 WordPress 版本，点击“立即更新”。
  3. 在同一个页面上，勾选有待更新的插件和主题，再点击对应的更新按钮。勾选每一部分顶部的复选框，可以全选。
  4. 进入“插件 > 已安装插件”，删除不再使用的插件。

WordPress 说，现在大多数网站会在后台自动安装小版本和安全更新，但大版本更新仍然需要你点击“立即更新”。

我的网站实际用的是哪个 PHP 版本？

要确认，不要想当然。cPanel 的文档说，每个域名都可以使用任何一个已安装的 PHP 版本，所以主机商修复了哪个版本、你的每个网站各自跑的是哪个版本，值得分开确认。在 WordPress 和 cPanel 里去哪里看，见如何查看网站的 PHP 版本。如果某个网站还在旧版本上，怎么切换见如何在 WordPress 网站上升级 PHP。PHP 8.1 及更早的版本已经不再获得 PHP 官方的更新，网站还在这些版本上的，需要和主机商谈谈，也可以先看还在用 PHP 8.1 或更早的版本？。

要不要检查网站有没有被入侵？

要，只要补丁到位之前有过空档。英国 NCSC 关于 PHP 的指南说，无法立即更新或停用系统的，要在升级或缓解之前评估系统有没有被入侵的证据，并检查有没有后门。CNCERT 也建议持续监测 PHP 进程异常退出、异常命令调用、陌生进程和异常文件写入，并留存日志。新版 PHP 修好了漏洞，但它不会告诉你之前有没有出过事。

  1. 进入“用户 > 所有用户”，点击表格上方的“管理员”链接。WordPress 关于网站被黑的常见问题把出现新用户列为明显的迹象。
  2. 打开 Google Search Console 的“安全问题”报告。Google 说，如果网站被黑或者可能危害访客，这个报告会显示它的评估结果。
  3. 问主机商有没有在你的账户上发现异常。

每一项检查更详细的做法，见WordPress 网站被黑的迹象。

什么时候该改密码？

一发现异常就改。WordPress 的常见问题说，要更改所有的访问入口，包括 FTP 或 SFTP、WordPress 后台、cPanel 或其他主机面板，以及数据库，而且是每一个有权限的用户，不只是你自己。按顺序改密码和第一个小时里要做的其他事，见网站被黑了怎么办。

该问主机商哪些问题？

问得简短、具体，得到的回答最有用。

  1. 我的每个网站现在用的是哪个 PHP 版本？是不是 8.5.12、8.4.27、8.3.36 或 8.2.35？
  2. 如果我的某个域名设成了“Inherited”（继承），服务器的默认版本是哪个？
  3. 如果某个网站还在 PHP 8.1 或更早的版本上，你们有没有打上移植的修复？PHP 官方说一些厂商会提供这类修复。
  4. 你们有没有把 session.upload_progress.enabled 设为 0？PHP 官方 10 月 23 日的信息性公告建议在下一个常规修复版本发布之前这样设置。
  5. 在我的账户上，或者在我共用的服务器上，有没有发现被入侵的迹象？WordPress 的常见问题说，共享主机上的一次入侵可能影响不止一个网站。
  6. 你们为我的网站保留了哪些备份？WordPress 建议向主机商了解备份政策。

更多问题

我的主机商受 PHP2Shell 影响吗？

只要它用 PHP 来运行网站，在更新之前就在影响范围内。NCSC 说，使用任何版本 PHP 的组织都会受到影响；CISA 也指出，PHP 常常是其他软件的组成部分。漏洞本身见PHP 漏洞 PHP2Shell 是什么。

主机商修复了 PHP，我的网站就安全了吗？

在修复版本上，10 月 21 日公布的两个 PHP 漏洞已经修好。不过 WordPress 的安全加固指南也提醒，在共享服务器上，如果同一台服务器上的另一个网站被入侵，你的网站也可能被波及。你自己的更新、版本确认和入侵检查仍然重要。

Web 应用防火墙能代替补丁吗？

不能。CISA 说，在打上补丁之前，Web 应用防火墙（WAF）可能提供一定的保护。PHP 公告说，只有更新才是完整的解决办法，它列出的临时措施不能让系统变得安全。

10 月 23 日的 PHP 公告说的是什么？

是另一个不太可能被利用的远程代码执行途径，编号 CVE-2026-115560。PHP 官方说，它只会在少见的配置和应用代码组合下出现，并建议在下一个常规修复版本发布之前，把 session.upload_progress.enabled 设为 0。这个设置在服务器上，由主机商来改。

主机商修复之前，网站要不要先下线？

NCSC 说，如果系统无法很快更新或缓解，可以考虑下线。CISA 说，无法马上更新、或仍在用 PHP 8.1 及更早版本的系统，应该先下线。CNCERT 也建议暂不具备修复条件的，采取网络隔离、访问限制、非必要业务系统下线等临时措施。一旦确认网站已在修复版本上，这条建议就不再适用于它。

来源