先确认版本
执行 php -v，或者打开主机面板里的 PHP 设置，把版本号填进 首页的版本检查。已修复的版本是 8.5.12、8.4.27、8.3.36、8.2.35。8.1 及更早的版本没有官方发布。
你自己管服务器
VPS、独立服务器，或者自己构建的容器，今天就能处理好。
你用的是虚拟主机
PHP 的补丁由服务商来打，轮不到你。把下面三个问题发给他们。
- 我的站点用的是哪些 PHP 构建？是否已包含 CVE-2026-109618 和 CVE-2026-109619 的修复？
- 更新之后，PHP worker 是什么时候重启的？
- 如果我的站点跑在 PHP 8.1 或更早版本上，你们会给这个版本打补丁，还是让我在面板里自己切换版本？
几天内都答不上第一个问题的服务商，这一点值得你记下来。很多面板允许你自己选更新的 PHP 版本，只要站点能兼容，先这样做。
你用 WordPress
PHP2Shell 不是 WordPress 的漏洞，任何插件都修不了它。修复在 WordPress 底下的 PHP 版本里。托管型 WordPress 由服务商负责，其他情况参照上面自己管服务器和虚拟主机这两节。操作指南见 查看 PHP 版本 和 更改 PHP 版本。
你卡在 PHP 8.1 或更早版本
没有官方软件包。可选的办法有升级、使用发行版打过补丁的软件包，或者付费购买扩展支持，对比见 旧版 PHP。
你要照看很多站点
代理商和自由职业者，先列出每台服务器、每个给站点提供服务的 PHP 版本。逐个打补丁并重启，然后记录从 Web 这一侧报告出来的版本。需要多一个人手的话，我们可以帮忙。
最后审阅：2026年10月22日