如何在 WordPress 网站上升级 PHP 版本（PHP2Shell 之后）

WindowsMac更新

PHP 不是在 WordPress 后台里升级的。PHP 运行在主机商的服务器上，所以要在主机控制面板里切换，或者请主机商来做。PHP 2026 年 10 月 21 日发布安全公告之后，网站应该用的是其中列出的修复版本，PHP 官方说更新是唯一完整的修复办法。

简要回答

先备份网站，然后在“仪表盘 > 更新”里更新 WordPress、主题和插件。接着在主机面板里切换 PHP 版本，cPanel 里用的是 MultiPHP Manager。之后检查网站能否正常运行，并在“工具 > 站点健康 > 信息 > 服务器”里确认新版本。自己改不了，就请主机商处理。

为什么现在要升级 PHP？

2026 年 10 月 21 日，PHP 官方发布了两个高危漏洞 CVE-2026-109618 和 CVE-2026-109619 的修复，美国 CISA 说它们被称为“php2shell”。PHP 公告说，这两个漏洞可能导致无需身份验证的远程代码执行，影响所有处理网页请求的 PHP。WordPress 运行在 PHP 上，所以不管 WordPress 是什么版本，网站都在影响范围内。国家互联网应急中心（CNCERT）的公告也点名 WordPress 受影响。

这次的漏洞本身和修复版本列表，见PHP 漏洞 PHP2Shell 解读。还不知道自己的版本，先看如何查看网站的 PHP 版本。

切换 PHP 之前，怎么备份 WordPress？

网站的两部分都要备份。WordPress 的备份指南说明，数据库里存的是文章和评论，文件里是其余的一切：WordPress 本身、主题、插件、上传的文件和 wp-config.php。备份文件不会同时备份数据库，所以两样都要。

  1. 看看主机商有没有提供备份工具。
  2. 没有的话，用备份插件，或者用 phpMyAdmin 导出数据库，再通过 FTP 把文件复制下来。
  3. 把备份放在不止一个地方。WordPress 建议至少保留 3 到 5 份最近的备份，存放在不同的位置，比如服务器上、云存储里和你自己的电脑上。

WordPress 的“Update PHP”页面把理由说得很清楚：有了备份，出了问题可以退回去。

怎么先更新 WordPress、主题和插件？

WordPress 的“Update PHP”页面说，切换 PHP 之前先把所有东西更新好，然后确认网站仍然正常。

  1. 在 WordPress 后台进入“仪表盘 > 更新”。
  2. 如果列出了新的 WordPress 版本，点击“立即更新”。WordPress 说之后应该不需要再做什么。
  3. 更新所有有待更新的插件和主题。
  4. 打开网站，把最重要的页面点一遍，比如商店页面或联系表单。

想知道主题和插件能不能适应新的 PHP，WordPress 建议用 PHP Compatibility Checker 插件。它同时说明这个插件“isn't perfect”（并不完美），可能误报。如果有东西被标出来，WordPress 的建议是联系主题或插件的开发者，或者在 WordPress.org 上换一个功能类似的替代品。

在 cPanel 里怎么切换 PHP 版本？

cPanel 的官方文档介绍了 MultiPHP Manager，可以为账户下的每个域名设置 PHP 版本。cPanel 把它放在 Software（软件）分类下。

  1. 登录 cPanel，打开 MultiPHP Manager。
  2. 勾选要修改的域名旁边的复选框。
  3. 在 PHP Version 菜单里选一个版本。
  4. 点击 Apply（应用）。

cPanel 说，菜单里只列出服务器上已安装、并且你的账户可用的版本，这些版本由服务器管理员安装。所以同一分支里你实际拿到的是哪个具体版本，比如 8.3.36，取决于主机商装了什么。这就是之后一定要检查的原因。

有些主机商用的是别的面板，或者 PHP 工具叫别的名字。WordPress 的“Update PHP”页面链接了一些主机商的操作说明，如果你的主机商不在列表里，它建议发邮件问主机商。

升级 PHP 之后怎么检查网站？

先确认版本，再检查网站本身。

  1. 在 WordPress 后台进入“工具 > 站点健康”，点击“信息”选项卡，展开“服务器”。
  2. 找到“PHP 版本”，和如何查看网站的 PHP 版本里的修复版本表对照。
  3. 打开网站的主要页面，并在后台登录、退出一次。
  4. 回到“工具 > 站点健康”，看“状态”选项卡里有没有新出现的关键问题。

如果网站出了问题，WordPress 的“Update PHP”页面说，你可以自己把 PHP 版本切回去，或者联系主机商或网站开发者。如果需要恢复备份，它说要先请主机商恢复之前的 PHP 版本，然后再恢复备份。

什么时候应该直接找主机商？

符合下面任何一条，就请主机商处理：

  1. MultiPHP Manager 里域名显示“Inherited”。 cPanel 说这表示它用的是系统默认版本，只有服务器管理员能设置。
  2. 菜单里没有你需要的版本。 cPanel 说版本只有在管理员安装之后才会出现。
  3. 到处都找不到 PHP 设置，或者你的主机套餐是托管型的。
  4. 网站还在用 PHP 8.1 或更早版本。 PHP 官方说这些版本“no longer receive updates from the PHP project”（不再获得 PHP 项目的更新），一些厂商提供移植的修复。问主机商有没有打上，或者升级到受支持的版本。

PHP 公告列出的临时缓解措施“do not make an installation safe”（不能让安装变得安全）。暂时不能升级的，CNCERT 的公告建议采取网络隔离、访问限制等临时措施。用的是虚拟主机的话，要请主机商做的就是升级本身。

更多问题

能在 WordPress 后台直接升级 PHP 吗？

不能。WordPress 的“Update PHP”页面说，升级要通过主机商的设置，或者请主机商来做。后台的“工具 > 站点健康 > 信息 > 服务器”能看到版本，站点健康也可能把过时的版本标为安全问题，但改动要在服务器上完成。

WordPress 应该用哪个 PHP 版本？

WordPress 的“Update PHP”页面推荐 PHP 8.3 或更高版本。PHP 8.2.35 的发布说明写明，8.2 的安全修复只到 2026 年 12 月 31 日。针对 PHP2Shell 的修复版本见如何查看网站的 PHP 版本。

升级 PHP 会把 WordPress 网站搞坏吗？

有可能，如果某个主题或插件还不适配新版本。所以 WordPress 说要先备份、先更新所有东西，并建议用 PHP Compatibility Checker 插件检查。真出了问题，可以先切回旧版本，或者请主机商帮忙，再慢慢排查。

只更新 WordPress 能修复 PHP2Shell 吗？

不能。漏洞在 PHP 里，不在 WordPress 里。切换 PHP 之前更新 WordPress、主题和插件仍是 WordPress 的建议，但 PHP 公告说，只有更新 PHP 才是完整的修复。

网站可能已经被人动过手脚怎么办？

英国国家网络安全中心（NCSC）建议，对没能马上更新的系统检查有没有被入侵的迹象和后门。个人网站的第一步怎么做，见网站被黑了怎么办。

来源