PHP2Shell 漏洞披露后如何用 PHP 更新保护 WordPress 站点

最近披露了 PHP 中两个严重安全漏洞（CVE-2026-109618 和 CVE-2026-109619），它们被称为 PHP2Shell。这些漏洞允许未经身份验证的攻击者在存在漏洞的服务器上执行恶意代码，使网站及其数据面临风险。

请注意，这些问题并非 WordPress 专属，也不需要更新 WordPress 或 Tutor LMS。修复方法是在您的服务器上更新 PHP。

哪些 PHP 版本已打过补丁？

2026 年 10 月 21 日，PHP 开发团队为四个受支持的 PHP 分支发布了修复版本。

以下是已修复的版本：

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

如果您的网站运行的是更早的版本，请更新到相应的修复版本或更新的受支持版本。

注意：PHP 8.1 及更早版本已结束生命周期，不会再获得任何官方安全更新。请升级到 PHP 8.2.35 或更高版本，并让您的网站保持离线，直到这些问题得到完全缓解。

如何检查 WordPress 网站的 PHP 版本

您可以按照以下步骤，直接从 WordPress 仪表板查看网站当前的 PHP 版本：

1. 登录您的 WordPress 管理仪表板
2. 进入 工具 > 站点健康
3. 打开信息选项卡
4. 展开服务器部分
5. 查看其中列出的 PHP 版本

如何在 WordPress 网站上更新 PHP

PHP 更新是在服务器层面完成的，而不是通过常规的 WordPress 或插件更新流程进行。更换 PHP 版本前，请采取以下预防措施：

• 备份您的网站：保留网站文件和数据库的最新备份。
• 检查兼容性：确认您的 WordPress 版本、主题和插件支持目标 PHP 版本。
• 尽可能进行测试：在更新线上网站之前，使用测试网站检查是否出现错误。
• 验证更新：重新检查 PHP 版本，并向您的托管服务商确认安全补丁已部署到位。

如果无法立即更新

如果无法立即更新 PHP 版本，请联系您的托管服务商，让他们为您应用修复。 

给 Tutor LMS 用户的提示

Tutor LMS 不需要针对这些 PHP 漏洞进行特定更新，因为修复必须在服务器层面应用。不过，请保持 WordPress、Tutor LMS、您的主题和其他插件为最新版本，并向您的托管服务商确认您的 PHP 版本已打过补丁。

请确保安全并保护您的网站！