它做什么
PHP Patch Status 在 工具 › 站点健康 › 状态 里加了一项测试。它读取当下为你站点服务的 PHP 版本，再和该分支上修复 CVE-2026-109618 与 CVE-2026-109619 的版本对比，也就是 8.5.12、8.4.27、8.3.36 或 8.2.35。
它只做这一件事。没有设置页面，不建数据库表，也不向我们或任何别人的服务器发请求。已修复的版本号直接写在插件里，所以新信息会随插件的新版本一起到来。
下载 php-patch-status.zip安装
- 下载上面的 zip 文件。
- 在 WordPress 里进入 插件 › 安装插件 › 上传插件，选择这个文件。
- 启用插件。
- 打开 工具 › 站点健康。结果会出现在列表里，标签是“Security”。
也可以在服务器上用 WP-CLI 安装。
wp plugin install https://php2shell.dev/downloads/php-patch-status.zip --activate
在多站点网络中，可以在整个网络启用，也可以只在主站点启用。网络里每个站点的 PHP 版本都相同。
结果的含义
| 结果 | 插件看到了什么 | 该怎么做 |
|---|---|---|
| 已通过 | 你的 PHP 版本等于或高于该分支的修复版本。 | 确认更新后 PHP 已经重启。方法见 打补丁之后。 |
| 推荐 | 版本号较旧，但构建带有发行版后缀，比如 -0ubuntu 或 +deb12u。 | 发行版会把修复加进旧版本号里。查看软件包的更新日志，见 选择你的系统。 |
| 严重 | 该分支已有修复版本，但你的 PHP 没有这个修复。 | 更新 PHP，或者让主机商更新。共享主机 页面里有一份可以直接发送的工单。 |
| 严重 | 你的分支（8.1、8.0、7.4 或更早）没有 PHP 官方发布的修复版本。 | 迁移到 PHP 8.4，步骤见 切换 PHP 版本。 |
| 推荐 | 你的分支比插件已知的版本还新。 | 更新插件。 |
如果 PHP 以 Apache 模块（mod_php）方式运行，测试会附上一条提示，说明 PHP 官方认为这种配置暴露面最大。
它看不到什么
- 是否每个 PHP 进程都重启过。 站点健康只在一个 PHP worker 里运行。同一台服务器上的其他进程池可能仍在跑旧代码。
- 打补丁之前站点有没有被攻击。 “已通过”的结果说明不了过去的情况。如果修复来得晚，读 WordPress 被入侵。
- 它认不出的向后移植。 把“推荐”理解为“大概没问题，请确认”。它的意思并不是“已修复”。
它不是修复
这个插件只负责报告。它不改动 PHP，不拦截请求，也不修补任何东西。安全插件或防火墙规则同样修不了这些漏洞，只有更新后的 PHP 才能修。
源代码和许可证
GPL-2.0-or-later。zip 里有三个文件，分别是插件本身、一份 readme 和已修复版本列表。安装之前请先读一遍，一共大约 130 行 PHP。
php2shell.dev 与 The PHP Group、PHP Foundation 和 WordPress 均无关联。
最后审阅：2026年10月22日