漏洞描述
2026年10月21日，PHP 官方披露两个远程代码执行漏洞，漏洞编号为 CVE-2026-109618、CVE-2026-109619。攻击者可能通过未经身份验证的请求，以网站服务进程的权限执行任意代码。
CVE-2026-109618：PHP 处理内存不足异常时，可能使用尚未正确初始化的请求数据，导致远程代码执行。
CVE-2026-109619：请求内存释放后，部分全局状态仍保留对该内存的引用。后续请求访问这些状态时，可能导致远程代码执行。
目前 PHP 官方及宝塔已提供相关安全更新。使用轻量应用服务器 WordPress、WooCommerce 应用镜像的用户，请核对网站实际使用的 PHP 版本，及时完成更新。
风险等级
漏洞编号 | 风险等级 | CVSS v4.0 评分 | 主要风险 |
CVE-2026-109618 | 严重（Critical） | 9.2 | 远程代码执行 |
CVE-2026-109619 | 严重（Critical） | 9.2 | 远程代码执行 |
受影响环境
本次漏洞涉及处理 Web 请求的 PHP 环境，包括 PHP-FPM 等运行方式。PHP 官方已发布 8.2.35、8.3.36、8.4.27、8.5.12 修复版本；各分支低于对应修复版本、且未应用相应补丁的环境需更新。详情请参见 PHP 安全公告。
本文针对轻量应用服务器中2026年10月23日之前预装 WordPress 和 WooCommerce 的应用镜像实例提供更新方案，不同创建时间或自行调整过软件的实例，实际版本可能不同。请按网站运行版本和补丁状态判断是否需要更新。
前提条件
已有使用 WordPress 或 WooCommerce 应用镜像创建的实例，且具备实例登录和管理权限。
已准备宝塔面板登录信息；首次使用时，还需按页面提示绑定宝塔官网账号。
已准备 WordPress 后台管理员账号，用于核对网站实际使用的 PHP 版本和检查业务功能。
警告：
PHP 更新会重启对应服务，网站可能短暂不可用。请在业务低峰期操作，并提前安排维护时间。WooCommerce 商店还需妥善处理更新期间的订单和交易。
修复方案
建议通过宝塔面板更新网站所用 PHP 分支，并完成服务和业务检查。以下以 PHP 8.3.22 更新至 8.3.36 为例。更新需应用修复补丁；仅调整配置或隐藏告警不能替代安全更新。
步骤1：备份并核对版本
1. 备份网站文件、数据库、PHP 环境及配置，检查备份文件可读，并确认恢复方案。也可根据业务情况创建实例快照，具体操作请参见 管理快照。
注意：
快照需等待创建完成后再用于恢复。数据库等应用的数据应先持久化；系统盘快照不包含外部数据库或其他磁盘上的数据，需分别备份。
2. 登录 WordPress 后台，选择工具 > 站点健康 > 信息，展开服务器，记录 PHP 版本。WooCommerce 商店也可在其 WordPress 后台查看。
3. 根据网站实际使用的 PHP 分支确定更新目标。本文示例使用 PHP 8.3，对应本次漏洞的修复版本为 8.3.36。同一实例上有多个网站时，请逐个核对。
步骤2：登录宝塔面板
1. 登录 轻量应用服务器控制台，选择目标实例进入详情页。在应用管理中核对应用信息，单击登录，连接服务器终端。登录方法请参见 使用 OrcaTerm 登录 Linux 实例（推荐）。
2. 如果当前用户不是
root，执行以下命令切换用户，再获取宝塔面板入口。sudo -ibt 14
当前已是
root 时，仅执行 bt 14。
3. 复制命令返回的外网 IPv4 面板地址，在浏览器中打开完整地址，并使用宝塔面板账号登录。
地址中的端口和安全入口路径需完整保留。
username 对应面板账号；尚未修改密码时，可按终端提示使用初始密码。已修改过密码的用户，请使用当前面板密码。注意：
bt 14 的输出包含面板登录信息，请妥善保管。面板账号、宝塔官网账号和 WordPress 后台管理员账号用途不同，请使用当前页面要求的账号。
4.
首次使用时，按页面提示阅读并处理使用协议。
如出现绑定宝塔官网账号页面，填写官网账号和密码，单击登录完成绑定。没有官网账号时，可先通过注册账号完成注册。已绑定的用户可跳过此步骤。
步骤3：更新 PHP
1. 在宝塔面板左侧选择软件商店 > 已安装，单击右上角的更新软件列表 / 支付状态，等待刷新完成。
2. 找到网站实际使用的 PHP 分支，单击该行右侧的更新。在更新页面核对当前版本和目标版本，确认已完成备份后，单击立即更新。
下图以 PHP 8.3.22 更新至 8.3.36 为例。
3. 如出现编译安装提示，单击提交并更新。宝塔将自动执行后台编译和安装任务。
4. 在消息盒子中查看任务进度，等待更新完成。
说明：
测试环境中，两次更新均耗时约15分钟，实际耗时受实例配置和网络等因素影响。编译期间请等待任务结束，避免重复提交更新或中断任务。
5. 确认消息列表显示安装成功，并刷新已安装软件列表，核对 PHP 版本已更新。
步骤4：检查更新结果
1. 确认更新后的 PHP 服务已重启并正常运行。如果更新过程未重启服务，请在对应 PHP 的设置中进入服务管理，执行重启。
2. 重新打开 WordPress 后台的工具 > 站点健康 > 信息 > 服务器，核对网站实际使用的 PHP 版本。本文示例更新后应显示 8.3.36。
如需辅助检查，可在服务器终端执行以下命令，查看宝塔 PHP 8.3 的程序版本和已加载扩展。
/www/server/php/83/bin/php -v/www/server/php/83/sbin/php-fpm -v/www/server/php/83/bin/php -m
以上路径适用于本文示例的 PHP 8.3 安装。命令输出用于核对磁盘上的程序，网站实际运行版本仍需通过网站后台检查。
3. 按下表检查网站和业务功能。
检查对象 | 检查内容 | 预期结果 |
PHP 环境 | 网站运行版本、所需扩展和服务状态 | 版本达到对应修复版本，扩展可用，服务正常 |
WordPress 网站 | 首页、文章、后台登录、图片上传及常用插件 | 页面和功能正常 |
WooCommerce 商店 | 商品、购物车、结算页面及订单后台；按业务测试流程验证支付 | 数据展示、交易流程和订单状态符合预期 |
数据库与日志 | 数据库连接、PHP 日志及网站错误日志 | 连接正常，无影响业务的新增异常 |
完成上述检查后，即完成 PHP 更新。请继续观察业务运行情况。
常见问题
面板地址无法打开怎么办？
确认实例处于运行中状态，并核对访问地址是否与
bt 14 返回的完整外网地址一致。检查实例防火墙和操作系统防火墙是否放行实际面板 TCP 端口，来源建议限制为您自己的公网 IP。修改过面板端口时，以实际端口为准。忘记面板密码怎么办？
以
root 用户登录服务器，执行 bt 5，按提示设置新的宝塔面板密码，再重新登录面板。此命令修改的是面板密码。更新后网站异常怎么办？
警告：
系统盘快照回滚会覆盖快照创建后产生的数据。WooCommerce 商店应先保护更新后新增的订单和交易记录，再执行恢复。
查看网站错误日志前，请确认日志已启用且保存到有效路径。日志目标为
/dev/null 时，无日志记录不能用于判断网站是否发生错误。参考链接
管理快照
PHP 安全公告
