简介: 从PHP的工作原理到登录验证、远程代码执行、风险优先级、版本检查和修复，一篇讲清楚。
互联网会在指定时间崩溃吗？
2026年10月21日14:00 UTC（北京时间22:00）不是互联网崩溃的倒计时，而是PHP修复版原定的发布时间。补丁已经正式发布。 网站管理员现在应当立即安装并确认生效。
WordPress后台改密码或更新插件，并不能代替服务器上PHP的修复。普通访客无权更新别人的服务器，更要防范假冒紧急验证的钓鱼短信和邮件。
PHP到底负责什么？看看网店的后台
PHP是在网站服务器上运行的编程语言。顾客点下购买按钮后，服务器可能用PHP核对登录状态、读取库存和价格、记录订单，再把结果送回浏览器。WordPress博客、企业内部网站和商店也经常用它。支付可能交给专门的服务商处理。PHP更像幕后店员，而不是屏幕上的按钮。
按F12能看到PHP吗？
浏览器开发工具通常能看到HTML（页面结构）、CSS（样式）和JavaScript（交互程序）。PHP先在服务器运行，浏览器通常只能看到运行后的结果。看得到菜品，不代表能看到厨房秘方。
在Chrome按F12，打开Network，刷新页面，选择主文档请求，再看Headers。X-Powered-By: PHP/... 或以 .php 结尾的网址可能提供线索，但这些信息可以隐藏。看不到PHP不等于没用PHP，更不能用F12判断漏洞是否存在。
| 技术 | 主要用途 |
|---|---|
| HTML / CSS | 页面结构 / 外观 |
| JavaScript | 浏览器交互，也能写服务器程序 |
| PHP | 服务器端的登录、查询、记录等处理 |
| Python / Java / Go | 也能开发服务器的其他语言 |
| SQL | 查询和修改数据库的语言 |
| P2P | 设备直接通信的一种方式，并非编程语言 |
SQL可能由PHP程序调用，不是可以拿来“替换PHP”的同类工具。
官方确认了哪些内容？
截至2026年10月22日的PHP官方公告： 两个漏洞均被评为 CVSS v4.0 9.2/10；这表示严重程度，并不是网站有92%的概率被入侵。
| PHP系列 | 已修复版本 |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
CVE-2026-109618与内存耗尽时的错误处理有关，CVE-2026-109619与不同请求之间残留的内部状态有关。两者在特定条件下都可能让未经登录的攻击者在服务器执行代码。使用Apache mod_php时，已有攻击在网站应用程序尚未启动前得逞的实验案例；PHP-FPM等运行方式也需要修复。
PHP项目已停止常规支持8.1及更早版本。部分操作系统与长期维护厂商会为旧版本回移补丁；官方还例外提供了7.4、8.0、8.1的源代码补丁。请对照厂商安全公告，而不只看版本数字。PHP 8.2将在2026年12月31日停止支持。
更让人意外的是：第一个问题的苗头2024年就被发现。PHP Foundation承认修复方案的复杂性和资源不足导致延迟。实验中能成功攻击，不等于互联网上每个网站都已被入侵。基金会称正式披露时尚未确认网上流传的演示代码具有实用攻击能力，但这不是发布后安全的保证。
绕过登录和控制服务器，是两件不同的事
绕过登录是骗过身份验证；远程执行代码（RCE）是诱使服务器执行未经授权的操作。PHP官方已经确认，本次两处漏洞在特定条件下都可导致无需登录的RCE。
在Apache mod_php环境中，第一个漏洞甚至可能在网站业务代码执行前被利用；PHP-FPM也存在依赖具体应用的风险。损害范围取决于PHP进程权限、数据库和网络连接，并非所有网站都已发生数据泄露。
哪些网站先处理？风险分级
| 场景 | 优先级 | 原因与操作 |
|---|---|---|
| 公开访问、未修复、存大量个人信息 | 最高 | 外部可触达、泄漏后果严重：立即修复，必要时限制访问，保留日志 |
| 公开访问、未修复、连接内部数据库 | 最高 | 对外网页可能成为进入内网的入口：限制数据库权限及连接、更新 |
| 公开访问、未修复、敏感信息很少 | 高 | 仍有篡改和横向入侵风险：尽快更新 |
| 仅内网、未修复、涉及重要资料 | 高 | 已受感染的电脑或VPN路径可能进入：修复、审查访问 |
| 仅内网、未修复、资料较少 | 中至高 | 可能成为攻击其他系统的跳板：隔离和更新 |
| 已修复、保存重要资料 | 继续调查 | 修复前可能已经被入侵：回溯日志 |
| 确认完全不用PHP | 无直接影响 | 仍须检查附属管理系统 |
互联网可达性、数据价值、PHP运行权限、内部数据库连接和未修复状态叠加时，处理越紧急。内网不等于绝对安全。
如何确认自己是否受影响？
按顺序检查：哪里在使用PHP → 真正为网页服务的PHP版本 → 官方受影响版本 → 修复是否已经安装。
WordPress可在工具 → 站点健康 → 信息 → 服务器查看PHP版本。更新WordPress本体或插件不代表PHP也更新了。租用主机请确认服务商的公告和责任人；自建服务器可用 php -v 查看命令行版本，但网页可能使用另一套PHP，还需检查PHP-FPM、容器和操作系统软件包。不要对不属于自己的服务器开展侵入性测试。
WordPress站长应该做什么？
修复版8.2.35 / 8.3.36 / 8.4.27 / 8.5.12已发布。 WordPress升级与服务器PHP升级是两回事。
更新WordPress核心或插件，不等于服务器上的PHP已经更新。 在后台打开 工具 → 站点健康 → 信息 → 服务器 查看PHP版本。托管站点应联系服务商或查询其官方通知，自行管理服务器则应梳理PHP安装位置、备份、回滚方案和维护负责人。
正式补丁已发布。请核对受影响版本，按官方说明更新，然后测试登录、文章发布、表单等关键功能。未经核实就在生产环境乱改，不是勇敢，是拿网站玩高成本抽奖。
补丁发布前后分别做什么？
修复版8.2.35 / 8.3.36 / 8.4.27 / 8.5.12已发布。 WordPress升级与服务器PHP升级是两回事。
提前统计PHP服务器和负责人，准备能恢复的代码、配置与数据库备份。官方修复已经发布，现在按PHP项目或供应商说明更新正在运行的PHP，必要时重启服务；核实版本并测试登录、发文、表单、下单及系统对接。
暂时无法修复时，应限制外部访问和数据库权限，必要时用Web应用防火墙辅助防护。仅改变某项上传或会话设置，不等于确认堵住两处缺陷。后果重大且无法有效防守时，要考虑暂时停机或隔离。
如果怀疑已经被攻破，先保存日志和证据，再调查异常账户、文件和对外通信。补丁能修锁，但无法让已经被偷走的客户名单自动回来。 AI可能加快扫描速度，但发布警报本身不证明所有网站已经泄漏。
没有PHP的网站呢？
完全不运行PHP的静态网站或JavaScript、TypeScript服务，不会直接受到PHP本身缺陷的影响。但管理后台、其他服务器、设备或第三方服务可能使用PHP。接入Cloudflare也不等于源服务器的PHP已被修复。
先回答三个问题：PHP在哪里运行？谁负责更新？更新后如何检查？
普通用户要做什么？
用户无法替网站维护服务器。遇到“紧急安全验证”“立即重置密码”等陌生邮件，应自己打开官方应用或网站核实，而不是直接点击邮件链接。
常见疑问
把PHP换成Python就安全了吗？ 整站重写成本很高，通常先修复现有PHP；其他语言也有漏洞。
所有用户现在要改密码吗？ 仅凭这条公告不必统一修改。若收到真实泄漏通知，请自行进入官方网站核查。
用了Cloudflare就没事了吗？ 防护可能有帮助，却不能证明源服务器的PHP已经更新。
9.2分代表92%的入侵概率？ 不是。这是严重程度的评分。
最后的重点
约定的时间不是互联网的爆炸时间，而是修理零件送达的时间。现在零件已到，管理员要确认实际运行的PHP是否完成修复，并测试网站功能、必要时排查旧的入侵痕迹。只升级WordPress却不修PHP，就像换了新招牌却没修好门锁。信息截至2026年10月22日01:26日本时间。
参考资料（12条）
PHP Security Team, 2026-10-20: https://www.php.net/archive/2026.php#2026-10-20-1
IPA, 2026-10-21: https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
WordPress documentation: https://wordpress.org/documentation/article/site-health-screen/
Cloudflare Workers languages: https://developers.cloudflare.com/workers/languages/
PHP manual, basic web execution: https://www.php.net/manual/en/tutorial.firstpage.php
Chrome DevTools, Network requests and response headers: https://developer.chrome.com/docs/devtools/network/reference
CERT-EU Security Advisory 2026-018, 2026-10-20/21: https://cert.europa.eu/publications/security-advisories/2026-018/
PHP official support periods: https://www.php.net/supported-versions.php
PHP Security Advisory, 2026-10-21: https://www.php.net/archive/2026.php
PHP Foundation, background and disclosure, 2026-10-21: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
CVE-2026-109618 (PHP advisory): https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
CVE-2026-109619 (PHP advisory): https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
