PHP 紧急安全更新将于 2026 年 10 月 21 日发布：网站所有者该怎么做

更新（2026 年 10 月 22 日）：修复版本已发布，请查看PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 修复两个严重 RCE 漏洞了解修复版本和应对步骤。

PHP 安全团队宣布，将于 2026 年 10 月 21 日星期三 14:00 UTC 发布一次关键安全更新，修复两个按 CVSS v4.0 评分均为 9.2 的漏洞。如果您的网站运行在 PHP 上（包括 WordPress、WooCommerce 以及大多数巴基斯坦企业网站），请做好准备，在修复版本发布后尽快更新。

PHP 官方公告说了什么

根据 2026 年 10 月 20 日发布的 PHP 官方公告：

更新计划于 2026 年 10 月 21 日星期三 14:00 UTC 发布。
修复两个关键漏洞，均为 CVSS v4.0 9.2。
如果细节公开或出现实际被利用的迹象，可能会提前发布。
受影响和已修复的版本将随更新一同公布，目前尚未列出。

目前技术细节尚不明确，请不要轻信传言或非官方的“修复”脚本，以 php.net 和您的主机服务商的信息为准。

为什么这与您的网站有关

PHP 运行在服务器上，处理动态网站的每一个请求。PHP 本身的关键漏洞可能同时影响大量网站，而细节一旦公开，攻击者往往很快就会开始扫描未打补丁的服务器。保持 PHP 为最新版本，是最有效的防护措施之一。

今天就可以做的 6 项准备

备份网站。把文件和数据库保存到服务器之外。可参考我们的网站备份指南。
确认 PHP 版本。在主机控制面板或 WordPress 站点健康页面（工具 → 站点健康 → 信息）查看。
更新 WordPress、主题和插件。过时或不再维护的插件是常见薄弱点，也可能在新版 PHP 下出现兼容问题。
清理不用的内容。删除未启用的插件、旧主题和遗忘的测试站点。
关注官方发布。更新发布后在 php.net 查看修复版本，并与主机服务商规划升级。
升级后测试。检查首页、表单、结账流程和后台登录，并查看错误日志。

如果您使用 VPS 或专用服务器

您需要自行更新 PHP。待操作系统提供修复后的软件包，请及时安装，重启 PHP 和 Web 服务，并确认版本已更新。如果不想自己维护，可以参考如何选择 VPS 配置，或考虑托管式 WordPress 主机。共享主机的服务器级 PHP 更新通常由服务商负责，但您可能仍需自行选择网站使用的 PHP 版本，请向主机商确认。

多层防护依然重要

打补丁才是根本，但不应是唯一防线。请使用强密码、保持 SSL 证书有效，并阅读我们的网站安全基础。DDoS 防护等服务能增加一层保护，但不能替代更新 PHP。

常见问题

PHP 关键安全更新何时发布？

PHP 安全团队计划于 2026 年 10 月 21 日星期三 14:00 UTC 发布。如果漏洞细节公开或出现被利用的迹象，可能会提前发布。

这些 PHP 漏洞有多严重？

PHP 安全团队表示，此次更新修复两个关键漏洞，按 CVSS v4.0 评分均为 9.2。

哪些 PHP 版本受到影响？

预先通知中没有列出受影响版本和修复版本，完整细节将随更新一同公布。请在发布后查看 php.net。

PHP 更新前我应该做什么？

备份网站文件和数据库，确认网站使用的 PHP 版本，更新 WordPress、主题和插件，并在主机服务商提供修复版本后尽快升级 PHP。

对您的网站有疑问？

不确定网站使用哪个 PHP 版本，或不知道如何更新？欢迎联系 Edish 团队，我们会为您指明方向。