给 WordPress 站打 PHP 补丁：这次更新插件没用
来源：dev.to — 2026-10-22
📋 概述
10 月 21 日 PHP 发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修 CVE-2026-109618 与 CVE-2026-109619，两个都是 CVSS 9.2，未登录即可在服务器上执行代码。作者在 SiteGround 上跑 WordPress，写这篇是因为她只想知道自己有没有中招，而确认一个站到底跑哪个 PHP 版本花的时间比预期长。要点是：任何对外提供请求的 PHP 都受影响，包括 PHP-FPM、mod_php、php-cgi、FrankenPHP 与 LiteSpeed；mod_php 最糟，因为利用代码在 WordPress 加载之前就执行了；7.4 到 8.1 已停止支持，只给源码 backport，7.3 及更早没有任何修复。
🔑 核心要点
- 漏洞在运行时而不在应用：更新 WordPress 和插件都不会修好它。
- 最快的自查路径是 /wp-admin/site-health.php?tab=debug，展开服务器信息看 PHP 版本。
- 发行版常在不改版本号的情况下打补丁，要查包更新日志里的 CVE 编号。
- 7.3 及更早没有修复，唯一出路是升级到受支持的版本。
💡 金句
“The bugs are in PHP itself, the runtime underneath WordPress, so updating WordPress or your plugins won't fix them.”
译：这些洞在 PHP 本身，也就是 WordPress 底下那层运行时，所以更新 WordPress 或插件都修不好。
← 返回 dev.to 首页