PHP 紧急修复两项严重漏洞：网站服务器需立即升级

2026 年 10 月 21 日，PHP 官方正式发布四个安全修复版本：8.5.12、8.4.27、8.3.36、8.2.35。本次修复两项严重漏洞 CVE-2026-109618 和 CVE-2026-109619，两者的 CVSS 4.0 评分均为 9.2（严重）。在满足相应利用条件时，攻击者可在无需登录的情况下通过网络请求执行恶意代码。WordPress、WooCommerce 等使用 PHP 的网站都需要排查服务器运行环境。

关键结论：请优先升级服务器实际运行的 PHP，而不是等待 WordPress 核心或插件更新。这两项属于 PHP 运行时漏洞，并非 WordPress 核心自身的漏洞。以下信息依据 PHP 安全公告及两份官方技术通告整理，截至 2026 年 10 月 21 日。

一、受影响 PHP 版本与官方修复版本

注意：表格列的是 PHP 项目官方发行版。Linux 发行版或商业 LTS 厂商可能把修复补丁回补至旧版本号，不能只凭版本字符串断言这类发行包未修复；必须核对厂商安全公告、补丁包版本及部署状态。PHP 安全团队另外提供了 PHP 7.4、8.0、8.1 的有限源代码回补供自行编译者参考，但它们不是恢复维护的正式安全发行版。官方特别说明 PHP 8.2 将于 2026 年 12 月 31 日 结束安全支持。

二、两个漏洞具体是什么？

CVE-2026-109618：内存耗尽处理引发的远程代码执行

PHP 在发生内存耗尽（Out of Memory，OOM）时，可能过早中断尚未完成初始化的请求处理，导致后续清理流程错误使用无效内存。官方已在 Apache mod_php 环境中验证：特定请求能够在网站业务代码执行前触发问题。PHP-FPM 的部分执行路径存在差异，但不能据此认定 PHP-FPM 安全。

CVE-2026-109619：跨请求残留状态引发的远程代码执行

PHP 工作进程可能在一次请求结束后保留指向已释放内存的内部状态；下一次请求如使用这些残留状态，可造成 Use-After-Free（释放后使用）并进一步触发远程代码执行。官方确认了与错误回溯、会话上传进度等有关的利用路径，其中会话生命周期相关路径已在 mod_php 与 PHP-FPM 环境验证。能否成功利用仍受服务器配置、应用执行路径及工作进程状态等条件影响。

两项漏洞都可能造成敏感数据泄露、网站篡改及服务器权限被滥用。“无需认证”不等于所有安装环境都可以被无条件利用；但由于风险严重，所有对外提供 PHP Web 服务的站点都应尽快完成修复。

三、WordPress 站长如何排查与升级？

1. 确认网站正在运行的 PHP 版本：进入 WordPress 后台「工具 → 站点健康 → 信息 → 服务器」，查看 PHP 版本；也可在虚拟主机、宝塔、cPanel、Plesk 或云服务面板查询。注意命令行 php -v 显示的版本可能与网站实际使用的 PHP-FPM / Web 运行时不同。
2. 核对真正的修复状态：按上方表格检查官方 PHP 版本；若使用 Linux 发行版、容器镜像或服务商定制包，请查询相应供应商对此次两个 CVE 的修复公告，确认实际使用的包和镜像已更新。
3. 备份并安排维护窗口：备份数据库、网站文件和必要的 PHP 配置，记录当前扩展与回滚方案。升级前检查 WordPress 主题、WooCommerce、支付模块及其他重要插件与目标 PHP 版本的兼容性。
4. 执行安全更新：优先在原受支持 PHP 分支内升级到表中的修复版本，以缩小兼容性变更；运行停更分支的站点应规划迁移到仍受支持的分支。对兼容性允许的新站点，可优先评估 PHP 8.4 或 8.5。勿将 PHP 8.6 测试版当作生产安全修复替代品。
5. 重启相关 PHP 工作进程并验证：按主机或容器部署方式完成 PHP-FPM / Apache / 容器进程切换，使新版本真正接管请求；重新查看站点健康，检查前台、后台登录、上传、表单、结账、定时任务及错误日志。多台服务器和不同站点池需要逐一核验。

四、暂时不能升级时怎么处理？

配置调整与 WAF 只能降低部分攻击面的风险，不能完整修复这两项漏洞。如果主机商尚未提供安全更新，应联系服务商了解部署时间、是否已应用供应商回补及可用的隔离措施；高风险业务如无法在可接受时间内完成修复，应评估限制公网访问或临时下线，而不是继续裸露运行。

• PHP 官方建议在无法立即修复时，评估于服务器级关闭 session.upload_progress.enabled，并重启所有 PHP 工作进程；PHP 8.5 可按官方公告评估关闭 fatal_error_backtraces。这些只针对已确认的部分利用路径。
• 对 CVE-2026-109618，官方还讨论了请求体限制及内存限制的临时处理；其中 memory_limit=-1 会改变资源限制并带来内存耗尽／拒绝服务风险，不建议普通站长盲目照抄，仅应由专业运维人员结合隔离、容器内存边界与官方公告审慎实施。
• 对外部请求、上传入口与 WAF 做限流和检测可以作为辅助措施，但不能证明服务器已免疫；在完成升级后仍应关注异常日志和安全事件。

五、常见问题

只更新 WordPress 核心、主题和插件就够了吗？

不够。此问题发生在 PHP 解释器及其请求生命周期，WordPress 官方明确表示没有为本次漏洞单独发布核心更新的计划。WordPress 和插件保持更新当然重要，但不能取代 PHP 安全修复。

PHP 8.1／7.4 没有出现新版本，是不是不受影响？

不是。它们已经退出 PHP 项目的常规安全维护范围。部分发行版／LTS 厂商可能提供回补，PHP 团队也开放了部分旧分支的最小源代码补丁，但不等于所有旧版本主机都已受到保护。应确认供应商的 CVE 修复声明，否则升级到受支持版本。

更新完 PHP 版本就代表服务器肯定没有被入侵吗？

不是。更新解决后续漏洞暴露，不会自动清除潜在的既有入侵。如果此前存在异常请求、未知管理员、可疑 PHP 文件或意外出站连接，应另行排查日志、文件完整性和账户凭据。

官方信息与参考链接

• PHP 官方：2026 年 10 月 21 日紧急安全公告与各分支更新记录
• PHP 安全公告：CVE-2026-109618（OOM 内存损坏）
• PHP 安全公告：CVE-2026-109619（跨请求残留状态）
• WordPress 官方：Critical PHP Security Release
• PHP 官方下载及发行版本

本文针对 2026 年 10 月 21 日发布的两项 PHP 漏洞，面向 WordPress 站长提供升级判断与处置指引。不同主机商和发行版的补丁发布节奏可能不同，请以 PHP 官方及对应发行商的最新安全公告为准。