如果你的网站是用 WordPress 做的，最近可能收到主机商的通知，或在新闻上看到「PHP 爆出严重漏洞」。这篇用白话说明：发生了什么事、对网站主人有什么影响、哪些网站要注意，以及为什么小C建站的网站不受这次影响。
发生了什么事？
PHP 是一种写网站的编程语言。WordPress、Drupal、Joomla、Magento，还有很多接案公司帮客户写的网站，背后都是 PHP 在运作：每次有人打开网页，服务器上的 PHP 就会跑一次，把网页做出来。
2026 年 10 月 21 日，PHP 官方发布了两个严重漏洞的修补，编号是 CVE-2026-109618 和 CVE-2026-109619，资安圈叫它 PHP2Shell。
白话说：攻击者不需要你网站的账号密码，只要对网站提交特制的请求，就可能在你的服务器上运行他自己的程序。 就像有人不用钥匙，就能从大门走进你的店里。
这个漏洞有多严重？
- 严重程度 9.2 分（满分 10）：属于「重大」等级。
- 跟你装了什么插件无关：问题出在 PHP 本身。资安公司 Patchstack 指出，就算是只有一行「Hello World」的网页，只要 PHP 版本有漏洞，也能被攻击。
- 影响范围很大：PHP 5.4 以后的版本几乎都受影响。Palo Alto Networks 在发布分析时，侦测到网络上有超过 2,260 万个可能受影响的服务器。
- 已经有人在用：美国网络安全局（CISA）在 10 月 26 日把这两个漏洞列入「已知遭利用漏洞」清单，并建议无法立即更新的系统先下线。
对网站主人的实际影响
攻击者一旦能在服务器上运行程序，常见的后果包括：
- 网站被放进「后门」，之后随时可以再进来
- 网站被改成转址到诈骗或赌博网站
- 表单收到的客户数据、会员数据外泄
- 服务器被拿去发垃圾信或挖矿，主机商因此禁用你的账号
- Google 把你的网站标示为「危险网站」，搜索排名和客人信任一起受伤
最麻烦的是：被入侵的网站，外表可能完全正常，等发现时已经过了好几周。
哪些网站要注意？
只要网站在服务器上跑 PHP，都要确认 PHP 已经更新。常见的有：
特别要注意两种情况：
- PHP 8.1 或更旧的版本：PHP 官方发布的修补版本是 8.5.12、8.4.27、8.3.36、8.2.35。8.1 以前的版本已经不在官方支持范围，CISA 建议这类系统在更新前先下线。如果你的主机还在用旧版本，就是该升级的时候了。
- WordPress 本身也有漏洞：同一个月，WordPress 内核另外有一个漏洞（CVE-2026-87902），在特定条件下也可能让攻击者运行程序，而且已经被利用。WordPress 要更新到 7.1.2 以后的版本。
如果你的网站用 PHP，现在可以做的事
- 问主机商或工程师：「我们的 PHP 版本更新到修补版了吗？」请他们给你明确的版本号。
- 把 WordPress 更新到 7.1.2 以后，插件和主题也一起更新。
- 还在用 PHP 8.1 或更旧版本：跟主机商确认有没有修补；没有的话，安排升级。
- 检查网站有没有异状：多了不认识的管理员账号、首页被改、Google 出现危险网站警告。
- 换掉重要密码：如果怀疑被入侵过，网站后台、主机、数据库的密码都换一次。
- 不要安装来路不明的「修补插件」：唯一完整的修法是更新 PHP，网络上流传的设置调整只能降低风险。
为什么小C建站的网站不受这次影响？
1. 发布出去的网站，是事先做好的网页
在小C建站按下发布时，平台会把每一页先做成完整的网页文件。访客打开你的网站时，服务器只是把做好的文件提交去，不会运行 PHP，也不会运行网站自己的程序。攻击者送再多特制的请求，也没有程序可以让他利用。
想知道发布时平台做了哪些事，可以看按下「发布」之后，发生了什么事？
2. 整个平台都没有使用 PHP
表单收件、文章系统这些需要服务器处理的功能，由小C建站的平台统一提供，用的是 Java 和 TypeScript，没有 PHP。
3. 编辑网站的环境和正式网站分开
你在编辑器里改网站、网站 AI 帮你写程序时，用的是每个网站各自独立的云端编辑环境，跟访客看到的正式网站分开。
4. 更新是平台的工作，不是你的
你不需要知道网站用的是什么版本、什么时候该更新。服务器软件的更新由我们负责，你不用升级任何东西，也不用装插件。
老实说：没有 PHP，不代表永远不会有资安问题
任何软件都可能有漏洞，小C建站用的软件也一样。差别在于：
- 能被攻击的地方比较少：正式网站只提交做好的网页文件，不在每次有人浏览时运行程序。
- 修补由平台统一处理：有漏洞时，我们更新一次，所有网站一起受保护，不用等每个网站主人自己动手。
- 出事救得回来：平台数据每天加密备份；网站的每一次发布都有记录，可以回到之前的版本（见改坏了也不怕）。
常见问题
我用 WordPress，要马上搬家吗？
不用急着搬。先请主机商或工程师把 PHP 和 WordPress 更新好，这是最重要的。如果你发现自己一直在担心更新、插件、资安，不想再管这些，再考虑换到由平台负责维护的做法。小C建站可以把 WordPress 网站搬进来。
我的网站放在 Wix、Shopify 这类平台上，需要做什么吗？
这类由平台管理服务器的服务，服务器的更新由平台负责，一般用户不需要自己更新 PHP。如果不放心，可以看看你使用的平台有没有发布相关公告。
小C建站的网站有表单，表单不用服务器吗？
要。表单提交的数据是交给小C建站平台处理，不是由你网站上的程序处理。平台由我们统一维护和更新，而且没有使用 PHP。
我怎么知道自己的网站是不是用 PHP？
如果你的网站是 WordPress、Drupal、Joomla，或是放在一般的「虚拟主机」上，几乎可以确定是 PHP。不确定的话，直接问帮你架站的人或主机商最快。
结论
PHP2Shell 是近年影响最广的网站漏洞之一，因为它不挑网站、不需要密码，只要 PHP 没更新就有风险。如果你的网站用 PHP，今天就请主机商或工程师确认版本。
如果你不想再为这种事担心，小C建站的做法是：网站发布成事先做好的网页，服务器的更新由平台负责，你只要专心经营你的生意。
数据源
- 美国网络安全局 CISA：Critical Vulnerabilities in PHP Require Immediate Patching（2026 年 10 月 21 日发布，10 月 26 日更新）
- Patchstack：Major security alert: PHP vulnerable to critical RCE
- Palo Alto Networks Unit 42：Threat Brief: CVE-2026-109618, CVE-2026-109619
- SiteGround：Critical PHP vulnerabilities: SiteGround sites protected
- CIS：A Vulnerability in WordPress Could Allow for Remote Code Execution（CVE-2026-87902）
以上信息于 2026 年 10 月 27 日查证。资安状况变化很快，请以 PHP 官方与你的主机商最新公告为准。