PHP2Shell 与 WordPress：你的 WordPress 网站受影响吗？

我的 WordPress 网站受 PHP2Shell 影响吗？

如果网站运行的 PHP 低于所在分支的修复版本，或者是 PHP 8.1 及更早、又没有发行版补丁，就受影响。PHP2Shell 是 PHP 本身的两个漏洞（CVE-2026-109618 和 CVE-2026-109619），所以只要 PHP 没修，不管用什么主题、插件、哪个 WordPress 版本，网站都在影响范围内。

怎么两分钟自查 WordPress？

有管理员账号就行，不需要登录服务器。

1. 在 WordPress 后台打开 工具 → 站点健康。
2. 切到 信息 标签，展开 服务器。
3. 记下 PHP 版本 和 PHP SAPI（PHP 的运行方式，比如 FPM 或 Apache）。
4. 填进 PHP2Shell 检测，它会和修复版本对照，并告诉你下一步怎么做。

站点健康显示的是真正在为网站服务的 PHP，这个版本才算数。服务器上的 php -v 可能显示的是另一个命令行 PHP。更多查法见 查看 PHP 版本。

升级 WordPress、主题或插件能修好 PHP2Shell 吗？

不能。PHP2Shell 在 WordPress 底下的 PHP 里，升级 WordPress、主题和插件都不会改变服务器的 PHP 版本。这些更新照样要做，但 PHP2Shell 只能靠把 PHP 升级到修复版本或发行版的修复包来解决。

PHP2Shell 和 wp2shell 是一回事吗？

不是。wp2shell 是 WordPress 核心的另一组漏洞，升级 WordPress 就能修复；PHP2Shell 在 PHP 里，要升级 PHP。搜索“php2shell WordPress”时，有时会出来 wp2shell 的结果，所以两个都要查：

• wp2shell：WordPress 核心是不是最新（仪表盘 → 更新）。
• PHP2Shell：站点健康里的 PHP 版本是否不低于所在分支的修复版本。

WordPress 的 PHP 该由谁来升级？

看网站托管在哪里。

用宝塔的站长注意：截至本站核实时，宝塔还没有给出 PHP2Shell 修复构建和面板里的更新路径（宝塔论坛）。请关注宝塔的官方公告。

升级 PHP 会不会把 WordPress 搞崩？

同一分支内升级（比如 8.3.30 升到 8.3.36）以修复为主，很少导致 WordPress 出问题。跨分支升级（比如 7.4 升到 8.3）可能让老主题、老插件不兼容。跨分支前先备份，有测试环境就先在测试环境里试。切换方法见 WordPress PHP 版本。

装了安全插件或用了 Cloudflare，WordPress 就安全了吗？

能降低风险，但都不是修复。Cloudflare 表示其 WAF 能拦截已知攻击模式，并在补丁发布前观察到了攻击尝试。WordPress 安全插件运行在 PHP 之上，修不了 PHP 本身；而且 PHP 官方确认过至少一条在应用代码执行之前就能触达的攻击路径。升级前的临时办法和局限见 CVE-2026-109618 临时缓解。

怎么判断 WordPress 网站是不是已经被黑了？

升级 PHP 只能挡住以后的攻击，说明不了之前有没有被入侵。在 WordPress 里重点看这些地方：

• 用户：有没有不认识的管理员账号（用户 → 按“管理员”筛选）。
• 上传目录：wp-content/uploads 里有没有 .php 文件，这里本来只该放图片等媒体。
• 必用插件：wp-content/mu-plugins 里有没有陌生文件，它们不会出现在普通插件列表里。
• 插件和主题：有没有不是你装的，或者你没动过却最近被改过的文件。

发现可疑情况，先别急着删，按 入侵自查清单 处理；清理完成后修改所有密码，并更换 wp-config.php 里的密钥（salts）。

建站公司怎么跟客户说明？

不只说风险，更要说清楚做了什么：每个网站现在的 PHP 版本、已经不低于修复版本、已经检查过有没有被入侵的迹象。给客户的通知模板在 PHP2Shell 修复 页面，每个网站的快速判定可以用 PHP2Shell 检测。