2026 年 10 月 21 日，两个严重的 PHP 漏洞被公开披露，统称 PHP2Shell。攻击者无需身份验证即可在受影响的服务器上执行恶意代码。PHP 开发团队当日紧急发布了安全更新以修复这些问题。
托管在 Kinsta 上的 WordPress 网站已免受 PHP2Shell 影响。其工程与安全团队已在托管平台（包括生产和预发布环境）部署了必要的 PHP 安全更新。经核查，未发现与这两个漏洞相关的数据泄露证据。
以下是关于 PHP2Shell 的核心信息、Kinsta 的处理措施，和如何查看网站 PHP 配置的说明。
什么是 PHP2Shell？
PHP2Shell 指两个 PHP 漏洞，编号分别为 CVE-2026-109618 和 CVE-2026-109619。在 CVSS 4.0 评分体系中，两者均被评定为 9.2 的严重等级。
这两个漏洞涉及 PHP 在处理请求时的内存管理机制。若被利用，攻击者可在服务器上运行恶意代码，进而危及托管的网站及数据。
由于 WordPress 运行在 PHP 之上，使用受影响 PHP 版本的 WordPress 网站同样面临风险。
与 WordPress 插件、主题或核心文件中的漏洞不同，PHP2Shell 影响的是 PHP 运行时本身。这意味着仅更新 WordPress 或其插件无法解决该问题，必须修补服务器端的 PHP 软件。
PHP 团队于 10 月 21 日发布了针对 PHP 8.2、8.3、8.4 和 8.5 的修复补丁。较旧的 PHP 版本则由第三方维护者提供安全更新。
对于 Kinsta 用户，这些更新在托管层级处理，无需对单独的 WordPress 安装做配置更改。
Kinsta 对 PHP2Shell 的响应措施
在官方安全补丁发布前，Kinsta 的工程与安全团队已开始准备应对 PHP2Shell。响应策略包括先添加防护措施以降低利用风险，待补丁发布后部署打过补丁的 PHP 版本。
利用 Cloudflare 阻断利用尝试
在准备 PHP 修复方案期间，保护网站是首要任务。Kinsta 使用 Cloudflare Web 应用防火墙（WAF）识别并阻断在到达托管平台网站前恶意请求。
在 PHP2Shell 披露前，Cloudflare 已部署新的防火墙防护，旨在检测针对这些漏洞的利用尝试。Kinsta 团队在托管基础设施中启用了相关防护功能。
所以，在等待 PHP 补丁及部署过程中，边缘层防火墙已在拦截 PHP2Shell 的利用尝试。
Kinsta 还在全托管环境中应用了额外的 PHP 配置更改，以降低潜在暴露面。在此期间，团队与漏洞防护合作伙伴 Patchstack 保持密切沟通，共享观察到的威胁与攻击模式信息。
这些措施在更新准备阶段起到了保护作用，但不能替代对 PHP 本身的修补。
应用 PHP 安全更新
PHP 团队发布修复补丁后，工程团队开始验证并在全平台部署打过补丁的 PHP 包。
Kinsta 部署了 PHP 7.4 至 8.5 的安全更新，其中包括由 PHP 包提供商 Freexian 提供的旧版本补丁。
由于 PHP 在平台层级做管理，客户无需手动安装修复程序或更改 PHP 版本。团队在托管基础设施中处理更新，同时保留额外的 Cloudflare 防护措施。
2026 年 10 月 22 日 08:26 UTC，Kinsta 在公开状态页将事件标记为已解决，确认所有网站已获保护，且安全更新已在整个平台完成部署。
事件处理期间，团队监控可疑活动，手动检查疑似被定向攻击的网站，并持续抽查托管环境中的妥协迹象。未发现与 PHP2Shell 相关的成功入侵证据。
响应期间发布的各项更新记录可查看 Kinsta 的 PHP 安全事件状态页。
Kinsta 客户需要采取行动吗？
不需要。如果 WordPress 网站托管在 Kinsta，必要的安全更新已应用完毕。
无需因 PHP2Shell 更改 PHP 版本、安装独立补丁或将网站下线。保护措施同样覆盖预发布环境。
若在漏洞处理期间因预防性措施暂停了某些环境，现在可以重新激活。团队已在暂停环境中执行了相关安全更新。
作为日常网站维护的一部分，仍建议保持 WordPress 安装、插件和主题的更新。但这些更新与 Kinsta 已在托管层级应用的 PHP2Shell 修复相互独立。
获取更新与帮助
管理客户 WordPress 网站的人员可与他们分享 Kinsta 的官方 PHP 安全事件报告。该报告记录了随着打过补丁的 PHP 版本可用而做的更新，并确认事件已解决。
如对特定网站有疑问或需确认其安全状态，可通过 MyKinsta 直接联系支持团队。该团队提供全天候服务。
更多信息可参考 Kinsta 支持联系指南。
