Kinsta 部署 PHP2Shell 安全更新，称未发现入侵证据

2026 年 10 月 21 日，两个关键的 PHP 漏洞被公开披露，统称为 PHP2Shell。这些漏洞可能允许攻击者在未经认证的情况下，在受影响的服务器上执行恶意代码。PHP 开发团队于当天发布了紧急安全更新，以修复这些问题。

如果您的 WordPress 站点托管在 Kinsta 上，则已受到保护，可免受 PHP2Shell 影响。我们的工程和安全团队已在整个托管平台上部署必要的 PHP 安全更新，包括生产环境和预发布环境。我们未发现与这些漏洞有关的入侵证据。

我们于 2026 年 10 月 22 日正式将该事件标记为已解决，客户无需安装任何补丁或对网站进行任何更改。

以下是您需要了解的关于 PHP2Shell 的信息、我们如何处理这些漏洞，以及如何检查您网站的 PHP 设置。

什么是 PHP2Shell？

PHP2Shell 是指两个 PHP 漏洞，编号分别为 CVE-2026-109618 和 CVE-2026-109619。根据 CVSS 4.0，两者的严重性等级均为关键，均为 9.2 分。

这些漏洞影响 PHP 在处理请求时管理内存的方式。如果被利用，攻击者便可在服务器上运行恶意代码，从而可能危及托管于该服务器的网站和数据。

由于 WordPress 运行于 PHP 之上，这些漏洞也给使用受影响 PHP 版本的 WordPress 网站带来了风险。

与在 WordPress 插件、主题或 WordPress 核心中发现的漏洞不同，PHP2Shell 影响的是 PHP 运行时本身。这意味着更新 WordPress 或其插件无法解决该问题。必须对服务器上的 PHP 软件进行修补。

PHP 团队于 10 月 21 日发布了针对 PHP 8.2、8.3、8.4 和 8.5 的修复。较旧的 PHP 版本则由第三方维护人员提供了安全修复。

对于 Kinsta 客户，我们在托管层面处理了这些更新，而无需他们逐一更改 WordPress 安装。

在官方安全补丁发布之前，我们的工程和安全团队就开始为 PHP2Shell 做准备。响应措施包括添加防护措施以降低漏洞被利用的风险，随后在修复版本发布后立即部署。

我们的首要任务之一，是在准备 PHP 修复期间保护网站。Kinsta 使用 Cloudflare 的 Web Application Firewall（WAF），帮助在恶意请求到达托管于我们平台上的网站之前识别并阻止这些请求。

在 PHP2Shell 被披露之前，Cloudflare 已部署新的防火墙防护措施，用于检测试图利用这些漏洞的攻击。我们的团队在整个托管基础设施上启用了相关防护。

因此，在等待 PHP 补丁以及部署补丁期间，我们边缘层的防火墙已在阻止针对 PHP2Shell 的漏洞利用尝试。

我们还在所有托管环境中应用了额外的 PHP 配置更改，以减少潜在暴露面。在整个事件期间，我们与漏洞防护合作伙伴 Patchstack 保持密切联系，分享有关威胁以及我们观察到的攻击模式的信息。

这些措施帮助我们在准备更新期间保护网站，但它们无法取代对 PHP 本身进行修补。

PHP 团队发布修复后，我们的工程团队开始验证已修补的 PHP 软件包，并将其部署到整个平台。

我们为 PHP 7.4 至 PHP 8.5 部署了安全更新，其中包括由我们的 PHP 软件包提供商 Freexian 提供的旧版本补丁。

由于我们在平台级别管理 PHP，客户无需安装这些修复程序或手动更改其 PHP 版本。我们的团队在整个托管基础设施上处理了这些更新，同时保留了额外的 Cloudflare 防护措施。

2026 年 10 月 22 日 08:26 UTC，我们在公开状态页上将事件标记为已解决，确认所有站点均已受到保护，并且安全更新已部署到整个平台。

在整个事件期间，我们的团队持续监控可疑活动，手动检查疑似成为攻击目标的站点，并继续抽查托管环境中是否存在入侵迹象。我们未发现与 PHP2Shell 相关的成功入侵证据。

您可以在我们的 PHP 安全事件状态页上查阅响应期间发布的各项更新。

不需要。如果您的 WordPress 网站托管在 Kinsta，我们已经应用了所需的安全更新。

您无需因 PHP2Shell 而更改 PHP 版本、安装单独的补丁或让网站下线。这些防护措施也涵盖您的预发布环境。

如果您在我们修复漏洞期间出于谨慎而暂停了任何环境，现在可以重新启用它们。我们的团队也对已暂停的环境执行了相关安全更新。

您仍应将 WordPress 安装、插件和主题的更新作为日常网站维护的一部分。不过，这些更新与 PHP2Shell 修复程序相互独立，后者我们已在托管级别应用。

想查看您的 PHP 版本？在 MyKinsta 中，前往 Sites，选择您的网站，然后打开 Tools > PHP settings。

请注意，显示的 PHP 版本不一定代表是否已应用安全补丁。有些 PHP 构建版本包含了回移植的安全修复，但版本号并未变更为最新的官方版本号。

我们已经在整个平台应用了 PHP2Shell 安全更新。如果您对特定环境的补丁状态有疑问，请通过 MyKinsta 联系我们的支持团队。

如果您为客户管理 WordPress 网站，可以将我们的官方 PHP 安全事件报告分享给他们。该报告记录了我们随着打过补丁的 PHP 版本发布而实施的各种更新，并确认事件已解决。

如果您对某个具体网站有疑问，或想确认其安全状态，可以直接通过 MyKinsta 联系我们的支持团队。我们的团队全天候 24/7 为您提供帮助。

欲了解更多信息，请参阅我们的《联系 Kinsta 支持团队》指南。

文章《PHP2Shell：Kinsta 如何保护 WordPress 网站》首发于 Kinsta®。