这次到底发生了什么
10 月 20 日，PHP 官方的安全团队提前预告：即将发布一版修复两个严重漏洞的安全更新，但当时没有公布细节、受影响版本和修复版本，只提醒所有用户提前做好准备。
10 月 21 日，PHP 8.5.12、8.4.27、8.3.36、8.2.35 正式发布，官方措辞很直接：强烈建议所有 PHP 用户立即更新。随后，日本多家线上服务临时停机做预防性维护，其中包括面向幼儿园的 SaaS、电商平台、内容与直播平台、银行和铁路公司，以及多家共享主机商。
| 时间 | 事件 |
|---|---|
| 10 月 20 日 | PHP 官方预告安全更新，未公布漏洞细节与版本范围 |
| 10 月 21 日 | 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 发布，官方呼吁立即更新 |
| 10 月 21 至 22 日 | 欧盟 CERT-EU 发布预警；日本多家平台与主机商紧急维护 |
两个漏洞的成因与风险
欧盟网络信息安全机构 CERT-EU 为这两个漏洞分配了编号，技术细节已随补丁公开：
| 编号 | 成因 | 潜在后果 |
|---|---|---|
| CVE-2026-109618 | 内存不足时，请求内部数据的初始化过程被中断，随后的收尾处理把不完整的数据当作正常数据继续使用 | 远程代码执行 |
| CVE-2026-109619 | 请求释放内存后，仍有内部状态指向该块内存；同一进程处理的后续请求可能沿用未重置的残留状态 | 远程代码执行 |
两个漏洞的 CVSS（4.0 版）评分均为 9.2，按通用分级属于最高档 Critical。CERT-EU 根据评分判断存在远程代码执行风险，并提示依据外部信息，PHP 5 之后的版本都可能受影响。
受影响的不只是某一种部署方式。PHP-FPM、Apache 模块方式（mod_php）、php-cgi、FrankenPHP、LiteSpeed 都在范围内。官方特别指出 mod_php 最危险：攻击者可以在应用代码执行之前、且无需任何认证就触发。
你的 WordPress 站点是否在范围内
WordPress 本身就是用 PHP 写的，服务端已知语言的网站里，大约七成跑在 PHP 上。所以这次不是「PHP 开发者的事」，而是每一个 WordPress 独立站的事。
判断标准很简单：看你站点的 PHP 版本是否低于下表对应分支的修复版本。
| PHP 分支 | 已修复版本 | 状态与建议 |
|---|---|---|
| PHP 8.5 | 8.5.12 | 已修复，正常使用 |
| PHP 8.4 | 8.4.27 | 已修复，正常使用 |
| PHP 8.3 | 8.3.36 | 已修复，正常使用 |
| PHP 8.2 | 8.2.35 | 已修复，WordPress 生态当前最稳的一档 |
| PHP 8.1 / 8.0 / 7.4 | 无常规更新 | 官方仅额外发布最小修复源码，已不在支持范围，建议迁移到 8.2 以上 |
现在该做的三件事，按优先级
第一步，先备份。数据库、wp-content、配置文件三样都要，并且确认备份是能恢复的，不只是「生成了一个压缩包」。
第二步，再升级 PHP。宝塔面板或主机控制面板里切换版本；共享主机需要提交工单让主机商开高版本。升级完成后立刻验证四件事：首页能否打开、表单能否提交、后台能否登录、支付与询盘链路是否通。
第三步，做兼容回归。重点查三类东西：停更多年的表单插件、老式缓存插件、以及自定义过的旧主题。这几处是 PHP 8.2 之后最常见的报错来源。
如果一时无法升级，官方给出的说法值得注意：没有完全的缓解措施，更新是唯一安全的选择。在打补丁之前能做的只是减少暴露面，例如不要把内存上限设为无限制、关闭 session 的上传进度记录功能、后台与管理接口限制来源 IP、非必要不把测试站暴露在公网。这些只能挡住特定攻击路径，不能替代补丁。
隽永东方这边在做什么
我们已启动客户独立站的 PHP 版本盘点，按站点优先级分批处理：先备份并留好回滚方案，再切换版本，升级后对前台、后台、询盘和支付链路做一轮实测回归。
实际执行里有两个坑，我们会提前挡掉。一是某些停更多年的插件在 8.2 上会抛废弃警告甚至直接报错，需要换插件或改调用方式。二是旧主题里对函数签名的老写法，在 8.0 之后会失效。
升级窗口会避开客户的投放高峰与旺季大促。需要协助的伙伴，把站点域名与当前 PHP 版本发给对接人，我们会先把影响面、报价与排期一并给你，确认后再动手。
关于费用，先把话说清楚
本次 PHP 版本升级属于技术服务范畴，不在免费范围内。实际费用取决于三件事：站点数量、当前环境的复杂程度、以及插件与主题需要改造的兼容工作量。
已在运维服务期内的伙伴，按双方服务协议约定执行，超出协议范围的部分单独报价；需要加急处理的，会产生相应的加急成本。
如果你自己动手升级，正文里的步骤和注意事项可以直接照做，我们不收取任何费用；需要我们代为操作、并出具备份与回归验证结果的，请先与我们确认报价与排期，再安排开工。
常见问题
升级会不会把站点搞坏？
PHP 8.2 相对 7.4 确实有破坏性变更，但主流插件与主题早已适配。真正的风险来自停更的插件，而不是 PHP 本身。所以顺序永远是先在测试环境跑通，再动正式站。
该升到 8.2 还是 8.3、8.4？
8.2 是当前 WordPress 生态最稳的一档，升到 8.2.35 就已覆盖本次漏洞。插件的支持情况允许的话，8.3 也可以。不必为了追新而牺牲稳定性。
用虚拟主机，改不了 PHP 版本怎么办？
共享主机通常可以在面板里切换，或由主机商开高版本；本次已有多家主机商主动做了紧急维护。如果主机商确实拿不出受支持的版本，就该考虑迁移了。
不升级会怎样？
CVSS 9.2 是最高等级，且 mod_php 模式下可在认证之前触发。漏洞细节已经公开，自动化扫描与利用通常来得很快。
参考来源
本公告事实依据以下公开信息整理：PHP 官方发布公告（2026 年 10 月 20 日预告、10 月 21 日发布修复版本）、欧盟 CERT-EU 安全公告（2026-018）、ITmedia NEWS 2026 年 10 月 21 日与 22 日的两篇报道。
隽永东方观察：安全这件事，从来不是「有没有出事」，而是「出事之前你有没有准备好」。一个 PHP 小版本号的差别，背后是十六年跨境独立站经验里反复验证过的一条常识：能备份、能回滚、能验证，才谈得上稳。
