# 紧急：PHP 暴露两个超过十二年的高危漏洞，所有 WordPress 都受到影响 *Published:* 2026-10-21 *Author:* 莫蒂奇 2026 年 10 月 21 日公开的两个 PHP 漏洞（CVE-2026-109618 和 CVE-2026-109619）会让你的网站和服务器在互联网上裸奔。 接下来我会用，最直白，最直接，最不绕弯子、最真相、最不绕弯、最扎心、最硬核、最干脆、最不墨迹、最戳痛点、最不留情面、最一针见血讲清楚三件事：安全、安全、还是安全。 **如果你的主机还在用旧 PHP，请及时更新到最新 8.4 以上版本。** PHP 这个上传功能默认是开着的，而且存在了很多年。事实上安全研究者早就知道它可以被利用，这次是属于提前暴露影响深远至 PHP 5.x 版本到现在最新的 8.5 全系列。 为什么这件事对 WordPress 特别麻烦 ---------------------- WordPress 站点完全基于 PHP 实现和开发的，所以只要你用的是 WP 网站那么这个漏洞就一定存在，而且很多人是不看也不懂这些非程序界面的底层技术功能。 据公开统计，超过七成可公开访问的 WordPress 实例使用过时的 PHP 版本；超过两成还在用 PHP 7.4，而 PHP 7.4 的安全支持早在 2022 年 11 月就结束了。这次漏洞的官方修复只覆盖 PHP 8.2 及以上版本，PHP 5、PHP 7、PHP 8.0 和 8.1 不会再有官方补丁。 更棘手的是大部分人不懂技术也根本不关心服务器状况如何，只有网站被黑之后看到问题才会发现。 你现在该做什么（按优先级） ------------- **第一，查你的 PHP 版本。** 登录你的主机控制面板（cPanel、宝塔、WP 后台等），找到 PHP 版本设置。如果低于 8.2，尽快升到 8.2 或更高。官方修复版本是 PHP 8.5.12、8.4.27、8.3.36、8.2.35。 **第二，如果你是共享主机用户，联系主机商。** PHP 版本通常由主机商控制，你没法自己升。直接问他们：你们的 PHP 是否已经包含 CVE-2026-109618/109619 的修复？什么时候推？ **第三，短期内升不了，就关掉上传进度功能。** 在 PHP 配置里把 `session.upload_progress.enabled` 设为 `0`。这不会修好漏洞，但能切断这条攻击路径。需要诚实说明：这个临时措施针对该漏洞的有效性还没有被完全证实，不能替代打补丁；但如果你短期内升不了 PHP，又不依赖上传进度条，这是一个成本很低的取舍。 **第四，别把“更新插件”当成全部。** 插件要更新，但这次的问题在发动机层面。先看 PHP 版本，再看插件。 如果你是站点管理员请尽快处理此问题，预计未来的一段时间会出现大规模的攻击和黑站操作，直接进服务器去更新 PHP 版本，打补丁，改配置，没有其他的解决方案。