WordPress PHP 版本：怎么查、怎么升级修复 PHP2Shell

如果你想知道的是 WordPress 网站是否受 PHP2Shell 影响，而不只是怎么切换 PHP，请先看 PHP2Shell 与 WordPress。

WordPress 网站受 PHP2Shell 影响吗？

很可能需要检查。WordPress 是用 PHP 写的，网站运行时离不开服务器上的 PHP。PHP2Shell 是 PHP 本身的漏洞，原始研究称在 WordPress 的部署上演示了不需要登录的代码执行。

是否受影响只看一件事：网站运行的 PHP 版本是否低于所在分支的修复版本。

需要管理员账号：

把这两项填进 PHP 版本检测，就能得到判断结果。站点健康显示的是网站真正在用的 PHP，比服务器上 php -v 更准。

不能。更新 WordPress 核心、主题、插件修的是 WordPress 自己的问题，不会改变服务器上的 PHP 版本。PHP2Shell 只能靠升级 PHP 修复。

顺带提醒：wp2shell 是 WordPress 核心的另一组漏洞（CVE-2026-63030 等），靠升级 WordPress 修复。两件事不同，但都应该保持最新。

看你的网站托管在哪里：

托管方式	怎么升级
宝塔面板	宝塔的修复构建本站尚未核实；先确认网站绑定的 PHP、做临时缓解，见宝塔 PHP
虚拟主机、托管 WordPress	面板里有修复版本就切换，没有就发工单，见 PHP2Shell 修复
cPanel / Plesk	在 PHP 版本设置里给域名选修复版本，见 cPanel 切换 PHP 版本
自己的 VPS	Ubuntu 升级 PHP 或 Docker PHP 镜像

升级后回到“站点健康”确认版本变了。如果没变，多半是 PHP-FPM 或 Apache 还没重启，或者面板里网站绑定的还是旧版本。

同分支小版本升级（比如 8.3 的旧版升到 8.3 的修复版）一般不会出问题。跨分支升级（比如 7.4 升到 8.3）要注意：

WordPress 官方也有升级 PHP 的说明，可以参考。

要。Cloudflare 的 WAF 能挡住一部分已知攻击请求，安全插件运行在 WordPress 里面——而 PHP2Shell 的部分攻击路径发生在 WordPress 代码运行之前，插件根本来不及介入。维护模式插件同理。这些都不能代替升级 PHP。

升级后重点看：

发现异常先保全现场，见网站被黑检测。不确定从哪开始，回到 PHP2Shell 检测。

输入网站使用的 PHP 版本，我们会和该分支的首个修复版本比较，并告诉你下一步怎么做。

本页的核心事实（修复版本、CVE 详情、发行版软件包、官方机构的提醒）都来自官方来源；研究报告、新闻和社区讨论已分别标注。