漏洞详情与紧急修补背景
PHP安全团队在2026年10月21日紧急发布了针对两个关键安全缺陷的修复补丁。这两个漏洞性质严重，允许攻击者在未登录的情况下，直接在你的Web服务器上执行任意代码。由于漏洞技术细节在补丁发布前已泄露，攻击者很可能已经掌握了利用方法。
如果运行的WordPress网站仍在使用未打补丁的PHP版本，必须立刻做更新。
受影响及修复版本列表
官方发布了以下修复版本：
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
使用PHP 8.1或更早版本的站点，由于已停止常规安全更新，必须升级到上述列表中的任一版本。
需要明确的是，更新WordPress核心文件不会改变服务器上的PHP版本。PHP运行在主机服务器上，所以升级操作需在主机控制面板完成，或联系主机提供商执行。
立即执行的操作指南
- 确认当前PHP版本登录WordPress后台，点击「工具」中的「站点健康」，切换到「信息」标签页，在「服务器」部分查看版本详情。
- 全量备份站点在修改任何配置前，一定要备份网站所有数据，防止更新异常导致数据丢失。
- 升级至已修补版本通常在主机管理后台可手动切换PHP版本。若找不到该设置项，直接联系主机客服请求协助升级。
- 排查入侵痕迹更新能阻断新攻击，但无法清除已潜伏的恶意脚本。检查是不是存在陌生的管理员账号，和文件系统是不是有未经授权的异常变更。
若暂时无法自行操作，应立即联系主机提供商，要求其代为应用官方修复补丁。
