2026 年 10 月 21 日公开的两个 PHP 漏洞（CVE-2026-109618 和 CVE-2026-109619）会让你的网站和服务器在互联网上裸奔。
接下来我会用，最直白，最直接，最不绕弯子、最真相、最不绕弯、最扎心、最硬核、最干脆、最不墨迹、最戳痛点、最不留情面、最一针见血讲清楚三件事：安全、安全、还是安全。
如果你的主机还在用旧 PHP，请及时更新到最新 8.4 以上版本。
PHP 这个上传功能默认是开着的，而且存在了很多年。事实上安全研究者早就知道它可以被利用，这次是属于提前暴露影响深远至 PHP 5.x 版本到现在最新的 8.5 全系列。
为什么这件事对 WordPress 特别麻烦
WordPress 站点完全基于 PHP 实现和开发的，所以只要你用的是 WP 网站那么这个漏洞就一定存在，而且很多人是不看也不懂这些非程序界面的底层技术功能。
据公开统计，超过七成可公开访问的 WordPress 实例使用过时的 PHP 版本；超过两成还在用 PHP 7.4，而 PHP 7.4 的安全支持早在 2022 年 11 月就结束了。这次漏洞的官方修复只覆盖 PHP 8.2 及以上版本，PHP 5、PHP 7、PHP 8.0 和 8.1 不会再有官方补丁。
更棘手的是大部分人不懂技术也根本不关心服务器状况如何，只有网站被黑之后看到问题才会发现。
你现在该做什么（按优先级）
第一，查你的 PHP 版本。 登录你的主机控制面板（cPanel、宝塔、WP 后台等），找到 PHP 版本设置。如果低于 8.2，尽快升到 8.2 或更高。官方修复版本是 PHP 8.5.12、8.4.27、8.3.36、8.2.35。
第二，如果你是共享主机用户，联系主机商。 PHP 版本通常由主机商控制，你没法自己升。直接问他们：你们的 PHP 是否已经包含 CVE-2026-109618/109619 的修复？什么时候推？
第三，短期内升不了，就关掉上传进度功能。 在 PHP 配置里把 session.upload_progress.enabled 设为 0。这不会修好漏洞，但能切断这条攻击路径。需要诚实说明：这个临时措施针对该漏洞的有效性还没有被完全证实，不能替代打补丁；但如果你短期内升不了 PHP，又不依赖上传进度条，这是一个成本很低的取舍。
第四，别把“更新插件”当成全部。 插件要更新，但这次的问题在发动机层面。先看 PHP 版本，再看插件。
如果你是站点管理员请尽快处理此问题，预计未来的一段时间会出现大规模的攻击和黑站操作，直接进服务器去更新 PHP 版本，打补丁，改配置，没有其他的解决方案。
发表回复