PHP 双 RCE 严重漏洞 CVSS 9.2：WordPress 站长的自查与升级清单

本周三，PHP 官方在毫无预热的情况下发布了一份措辞罕见的严厉公告：两个可以让攻击者在未经身份验证的情况下远程执行代码的严重漏洞被同时修复，CVSS v4.0 评分双双达到 9.2。英国国家网络安全中心（NCSC）的建议已经升级到"无法立即缓解的组织，应考虑将系统直接下线"。连 WordPress 官方都专门发文提醒站长尽快处理——要知道，WordPress 核心这次并不需要更新，官方为一桩"与 WP 无关"的漏洞专门写一篇公告，这本身就说明了事态的严重程度。

两个漏洞到底有多危险

第一个漏洞编号 CVE-2026-109618：当 PHP 进程内存耗尽时，请求处理会被中断，内部请求数据只初始化了一半，而在请求清理阶段，这些无效数据可能被当作有效数据处理。第二个漏洞 CVE-2026-109619 更隐蔽：请求的内部状态在其底层内存被释放后仍然存活，同一个 worker 处理的下一个请求，可能在正常初始化之前就用上这些"陈旧"状态。

两个漏洞殊途同归，都能直接拿到远程代码执行。最危险的场景是 Apache mod_php：安全研究人员已经放出演示利用，一条未经身份验证的请求，就能在任何应用代码运行之前触发攻击。PHP-FPM、php-cgi、FrankenPHP、LiteSpeed 等常见运行方式同样在受影响名单里。

三步自查：你的站点有没有中招

1. 登录 WordPress 后台，打开"工具 > 站点健康 > 信息 > 服务器"，查看当前 PHP 版本。
2. 如果主机商提供了管理面板（宝塔、cPanel、1Panel 等），在面板的 PHP 设置里再核对一次实际运行版本，两边不一致时以面板为准。
3. 记下版本号，对照下面的修复清单，凡是低于对应小版本号的都需要升级。

修复版本对照：PHP 8.2 升到 8.2.35，8.3 升到 8.3.36，8.4 升到 8.4.27，8.5 升到 8.5.12。

以宝塔面板为例，操作路径很简单：软件商店找到对应 PHP 版本升级到修复版，或者在"PHP > 版本管理"里直接切换到已修复的分支，切换完成后重启服务，再回站点健康页确认一遍。习惯命令行的朋友也可以在服务器上跑一句 php -v 直接核对版本，注意 CLI 与 FPM 可能使用不同的配置文件，以 FPM 实际加载的版本为准。

另外提醒一句：不少站长会觉得"我前面挂了 CDN 和 WAF，应该没事"。这次不一样——两个漏洞都可以通过正常的 HTTP 请求触发，防护层挡不住利用代码本身，WAF 规则最多帮你争取一点升级时间，替代不了升级本身。

一时升级不了，先做这四件事

如果 VPS 环境复杂、暂时动不了 PHP，官方给了一套缓解措施：把 memory_limit 设为 -1，并且要用 php_admin_value 这类方式写死，防止应用自己改回去；把 post_max_size 压低，无上传需求设 8M，有上传设 32M；把 session.upload_progress.enabled 设为 0 并重启全部 worker；条件允许的话再用容器或 cgroup 限制给可用性兜底。注意这些只能降低风险，官方原话是"没有完整的缓解措施，更新是唯一安全的选择"。

还有一件事容易被忽略：PHP 8.1 及更老的版本早已停止安全更新，官方只提供源码级补丁，需要自行编译。而 8.2 也将在今年 12 月 31 日到期。如果你还在跑 8.1 甚至 7.4，这次不妨一步到位升到 8.3 或 8.4——性能更好，安全窗口也更长。当然，升级前先备份整站，并确认主题和插件对新版本的兼容性。

说到底，这次事件最大的警示在于：WordPress 的安全从来不只关乎 WordPress 本身。跑在它下面的每一层——PHP、Web 服务器、数据库——都可能成为整站最薄弱的一环。花五分钟看看自己的 PHP 版本，可能比装十个安全插件都管用。

参考地址：WordPress 官方公告（https://wordpress.org/news/2026/10/critical-php-security-release/）、PHP 官方安全公告（https://www.php.net/archive/2026.php#2026-10-21-5）