WordPress、虚拟主机与托管服务
更新 WordPress、Drupal 或 Joomla 不会更新 PHP。向主机商索取实际处理器、完整包修订、两个 CVE 的修复说明和进程重启凭据。面板中的同一分支可能对应不同构建。托管云服务或一体化设备应按产品厂商公告更新，不要自行替换捆绑运行时。
哪些安装需要处理？
PHP 官方建议更新所有处理 Web 请求的安装，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 和 LiteSpeed。WordPress、Drupal、Joomla、MediaWiki、Laravel 和自研应用均继承底层运行时风险。只更新应用无法替换 PHP。还应盘点设备管理界面、测试站、容器和嵌入式产品中的 PHP。
3. 重启并验证所有实例
新文件不会自动替换内存中的旧工作进程。mod_php 需要重启 Apache，FPM 需重启对应服务及进程池，也要重启常驻队列和计划任务。检查服务启动时间、Web 实际版本、包修订、健康状态和每个负载均衡副本。临时诊断页用完立即删除，切勿公开保留 phpinfo()。
一手来源与延伸阅读
PHP security teamSecurity advisory · 21 Oct 2026
CVE-2026-109618GHSA-w8hw-w9fx-j79w · OOM corruption
CVE-2026-109619GHSA-6wmf-4rv5-p3rp · Stale global state