PHP 发布 8.5.12 等 4 个安全版本，修复 2 个严重远程代码执行漏洞

PHP 项目已发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，用于修复两个严重漏洞 CVE-2026-109618 和 CVE-2026-109619，这些漏洞可能允许未经身份验证的远程代码执行。PHP 项目强烈建议所有 PHP 用户立即更新。我们建议确保你管理的每个网站都尽快运行已打补丁的 PHP 版本。

远程代码执行意味着攻击者可以在你的服务器上运行自己的代码。“未经身份验证”意味着他们无需先登录。在 10 月 20 日发布的预警通知中，PHP 安全团队将这两个漏洞在 CVSS v4.0 评分标准上的严重程度均评为 9.2 分，属于严重级别。

每个 WordPress 网站都运行在 PHP 上。这些漏洞存在于 PHP 本身，而非 WordPress、插件或主题中，因此 WordPress 自动更新无法修复它们。必须在服务器上更新 PHP。

Wordfence 威胁情报团队正在调查这些漏洞，我们将根据需要发布后续更新。

谁会受到影响

根据 PHP 安全公告，所有用于处理 Web 请求的 PHP 安装均面临风险，包括 PHP-FPM、使用 mod_php 的 Apache、php-cgi、FrankenPHP 和 LiteSpeed。PHP 项目认为 mod_php 的风险最高，因为已有公开利用方式证明，未经身份验证的请求可在任何应用程序代码运行之前触发攻击。

已修复版本

PHP 8.5：更新至 8.5.12
PHP 8.4：更新至 8.4.27
PHP 8.3：更新至 8.3.36
PHP 8.2：更新至 8.2.35。PHP 项目表示，PHP 8.2 将于 2026 年 12 月 31 日结束生命周期，此后将不再获得安全修复。

PHP 8.1 及更早版本不再从 PHP 项目获得更新。PHP 项目表示，一些 Linux 发行版和长期支持（LTS）供应商会提供回移植的修复，因此请联系你的供应商，或升级到受支持的版本。PHP 安全团队还为 PHP 7.4、PHP 8.0 和 PHP 8.1 发布了最小化源代码回移植版本，供从源代码构建 PHP 或无法使用 LTS 供应商修复的人使用。

现在该做什么

检查你的 PHP 版本。在 WordPress 仪表板中，进入 工具 > 站点健康，打开信息选项卡，然后展开服务器部分。如果你的 PHP 来自 Linux 发行版或 LTS 供应商，打补丁后版本号可能不会改变，因此请向你的主机服务商或供应商的安全公告确认。
如果你的托管服务商为你管理 PHP，请联系他们或查看其状态页面，确认其已更新至某个已修复版本。
如果你管理自己的服务器，请先备份，然后从 Linux 发行版或 LTS 供应商安装更新后的 PHP 软件包。PHP 项目表示，这些供应商已提前收到补丁。源代码下载以及 Windows 版源代码和二进制文件可从 PHP 下载页面获取。
如果你使用由志愿者维护的 remirepo 仓库（rpms.remirepo.net），请查看其中是否有更新的软件包。PHP 安全公告称，该仓库在 10 月 21 日不会提供更新，但 PHP 基金会随后发布消息称，其维护者目前正在为更新的软件包签名。公告还敦促 remirepo 用户改用发行版软件包或从源代码构建，以便立即应用更新。

如果你无法立即更新

PHP 项目表示，唯一的完整解决方案是进行更新。对于无法立即更新的用户，其公告列出了可以降低特定攻击路径暴露程度的措施，但这些措施无法确保安装安全。如果您或您的主机需要这些措施，请严格按照 PHP 安全公告中的说明操作。

需要帮助？

Wordfence Care 和 Wordfence Response 客户如需帮助，可以联系我们的事件响应团队。Wordfence Care 包含工作时间内的事件响应服务，而 Wordfence Response 则提供 24/7/365 全天候服务，并承诺一小时内响应。

获取事件响应帮助

文章 PSA：PHP 针对两个严重漏洞的安全更新已发布，请立即更新，最早发布于 Wordfence。