# 緊急：PHP 暴露兩個超過十二年的高危漏洞，所有 WordPress 都受到影響 *Published:* 2026-10-21 *Author:* 莫蒂奇 2026 年 10 月 21 日公開的兩個 PHP 漏洞（CVE-2026-109618 和 CVE-2026-109619）會讓你的網站和服務器在互聯網上裸奔。 接下來我會用，最直白，最直接，最不繞彎子、最真相、最不繞彎、最扎心、最硬核、最乾脆、最不墨跡、最戳痛點、最不留情面、最一針見血講清楚三件事：安全、安全、還是安全。 **如果你的主機還在用舊 PHP，請及時更新到最新 8.4 以上版本。** PHP 這個上傳功能默認是開着的，而且存在了很多年。事實上安全研究者早就知道它可以被利用，這次是屬於提前暴露影響深遠至 PHP 5.x 版本到現在最新的 8.5 全系列。 為什麼這件事對 WordPress 特別麻煩 ---------------------- WordPress 站點完全基於 PHP 實現和開發的，所以只要你用的是 WP 網站那麼這個漏洞就一定存在，而且很多人是不看也不懂這些非程序界面的底層技術功能。 據公開統計，超過七成可公開訪問的 WordPress 實例使用過時的 PHP 版本；超過兩成還在用 PHP 7.4，而 PHP 7.4 的安全支持早在 2022 年 11 月就結束了。這次漏洞的官方修復只覆蓋 PHP 8.2 及以上版本，PHP 5、PHP 7、PHP 8.0 和 8.1 不會再有官方補丁。 更棘手的是大部分人不懂技術也根本不關心服務器狀況如何，只有網站被黑之後看到問題才會發現。 你現在該做什麼（按優先級） ------------- **第一，查你的 PHP 版本。** 登錄你的主機控制面板（cPanel、寶塔、WP 後台等），找到 PHP 版本設置。如果低於 8.2，儘快升到 8.2 或更高。官方修復版本是 PHP 8.5.12、8.4.27、8.3.36、8.2.35。 **第二，如果你是共享主機用户，聯繫主機商。** PHP 版本通常由主機商控制，你沒法自己升。直接問他們：你們的 PHP 是否已經包含 CVE-2026-109618/109619 的修復？什麼時候推？ **第三，短期內升不了，就關掉上傳進度功能。** 在 PHP 配置裏把 `session.upload_progress.enabled` 設為 `0`。這不會修好漏洞，但能切斷這條攻擊路徑。需要誠實説明：這個臨時措施針對該漏洞的有效性還沒有被完全證實，不能替代打補丁；但如果你短期內升不了 PHP，又不依賴上傳進度條，這是一個成本很低的取捨。 **第四，別把“更新插件”當成全部。** 插件要更新，但這次的問題在發動機層面。先看 PHP 版本，再看插件。 如果你是站點管理員請儘快處理此問題，預計未來的一段時間會出現大規模的攻擊和黑站操作，直接進服務器去更新 PHP 版本，打補丁，改配置，沒有其他的解決方案。