PHP 发布 8.5.12 等版本修复两项 CVSS 9.2 漏洞

更新，2026年10月21日：PHP 项目已发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，以修复这两个漏洞。请阅读我们的新安全公告，了解修复版本以及当前应采取的措施。

编辑注：本文于 2026年10月20日发布，早于 PHP 安全版本发布。10月21日，我们更新了文章，指向新的安全公告，并注明修复现已可用。其他细节反映的是文章发布时已知的信息。

PHP 安全团队已提前通知即将发布的关键安全版本，计划于 2026年10月21日星期三 14:00 UTC（美国东部时间上午10:00）发布。

该版本修复了两个严重漏洞，在 CVSS v4.0 量表上的评分均为 9.2。

PHP 是 WordPress 所采用的编程语言。每个 WordPress 网站都运行在安装了 PHP 的服务器上，因此无论使用哪些插件或主题，此版本都与每一位 WordPress 网站所有者相关。

~~PHP 团队尚未公布哪些版本受到影响、漏洞具体是什么，或哪些版本将包含修复。这些详情将随版本一同公布。~~

团队还表示，如果任一漏洞的详情被公开，或发现存在积极利用的证据，可能会比计划时间更早发布该版本。

更新：修复现已可用。请检查你的网站正在运行的 PHP 版本，并确认主机已将其更新；如果你管理服务器，请自行更新 PHP。

这为何对 WordPress 网站很重要

PHP 并不是 WordPress 本身的一部分。它是服务器软件，通常由你的主机提供商安装和管理。这会带来两项实际影响：

WordPress 自动更新不会应用此修复。 更新 WordPress、插件或主题不会改变你的服务器所运行的 PHP 版本。
由谁应用更新取决于你的网站托管方式。 在大多数托管主机和共享主机上，主机会为你更新 PHP。在 VPS、专用服务器或任何由你自行管理的服务器上，则由你或你的开发者负责安装更新。

CVSS 评分用于衡量漏洞的严重程度，量表范围为 0 到 10，而 9.2 属于“严重”级别。我们目前尚不知道如何触发这些漏洞，因此无法判断它们能被多轻易地用于攻击 WordPress 网站。更新现已可用，请尽快应用。

我们已知与未知的信息

PHP 安全团队已确认：

安全版本计划于 2026年10月21日星期三 14:00 UTC 发布。
该版本处理两个严重漏洞，每个在 CVSS v4.0 中的评分均为 9.2。
如果漏洞详情被公开或观察到积极利用，版本可能会提前发布。

尚未公布：受影响的 PHP 版本、修复后的版本号、CVE 标识符以及任一漏洞的技术细节。该版本现已发布：有关这些详情，请参阅我们的新安全公告。

如何检查你的 PHP 版本

在 WordPress 仪表板中，进入工具 > 网站健康，打开信息标签页，然后展开服务器部分。你的网站正在运行的 PHP 版本会列在那里。根据 PHP 项目的受支持版本页面，目前以下分支会收到安全修复：

PHP 8.5 和 PHP 8.4：积极支持
PHP 8.3：仅提供安全修复，支持至 2027年12月31日
PHP 8.2：仅提供安全修复，支持至 2026 年 12 月 31 日

如果你的网站运行 PHP 8.1 或更早版本，那么所用的版本已不再接收 PHP 项目的安全修复。 PHP 项目的公告称，一些 Linux 发行版和长期支持（LTS）供应商会回移植修复，PHP 安全团队也已为从源代码构建 PHP 的人发布了适用于 PHP 7.4、8.0 和 8.1 的最小化源码回移植版本。

向你的主机服务商咨询迁移到受支持版本事宜，并先在该版本上测试你的网站，因为较旧的插件和主题可能会在较新的 PHP 上出现故障。

发布前需要做什么

弄清楚谁负责管理你的服务器上的 PHP。 如果你使用托管服务，请查看其状态页面或询问支持团队是否计划应用 PHP 安全发布以及何时应用。许多主机会自动更新 PHP，但仍值得确认。
如果你管理自己的服务器，请在 14:00 UTC 之后的短时间内安排一个维护窗口。 如果你通过操作系统的软件包、控制面板或容器镜像安装 PHP，这些更新的发布时间可能与 php.net 的官方发布不同。请向相应来源确认。
在更改服务器上的任何内容之前，对网站文件和数据库进行全新备份，并确认你能够恢复备份。
如果你有预发布环境，请准备好先在那里测试更新，然后再应用到正式网站。
密切关注官方渠道。 php.net 首页将宣布此次发布，而且发布内容可能提前到来。

Wordfence 正在做什么

Wordfence 威胁情报团队正在监测此次发布。一旦 PHP 团队公布详细信息，我们将审查这两个漏洞，评估它们可能对 WordPress 网站造成的影响，并确定是否可以提供防火墙防护。

PHP 自身的一些漏洞只能通过更新 PHP 来修复，因此无论我们的调查结果如何，更新服务器仍是最重要的一步。此次发布现已推出，我们的新安全公告介绍了已修复的版本以及后续应采取的措施。

Wordfence Care 和 Wordfence Response 客户如需帮助，可以联系我们的事件响应团队。Wordfence Care 包含工作时间内的的事件响应服务，而 Wordfence Response 则提供全天候服务，响应时间为 1 小时。

进一步了解 Wordfence Care 和 Wordfence Response。

时间线

2026 年 10 月 20 日：PHP 安全团队宣布即将发布一项关键安全更新，用于修复两个 CVSS v4.0 评分为 9.2 的漏洞。
2026 年 10 月 21 日：PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 已发布。请参阅我们的新公告。

结论

PHP 安全团队将于 2026 年 10 月 21 日星期三 14:00 UTC 发布针对两个 PHP 关键漏洞的修复；如果详细信息泄露或有人开始利用漏洞，也可能更早发布。

由于 PHP 运行在每个 WordPress 网站之下，此次更新关系到每一位网站所有者，而且不会通过 WordPress 更新推送。今天，请确认你的网站正在运行哪个 PHP 版本，确认你的主机服务商或自己的团队将应用此次更新，并进行备份。

~~发布内容上线后，请在确保安全的前提下尽快应用。~~ 此次发布现已推出。请阅读我们的新公告，了解已修复的版本和后续步骤。

文章《PSA：即将发布关键的 PHP 安全更新》最初发布于 Wordfence。