2026年10月21日，PHP 官方发布安全公告，确认 PHP 存在两项严重漏洞：CVE-2026-109618 和 CVE-2026-109619。攻击者可能在不登录网站后台的情况下，通过特定请求触发漏洞，让 PHP 执行攻击者控制的代码。PHP 官方为 PHP 8.3 发布了修复版 8.3.36，并建议用户尽快更新。查看 PHP 官方安全公告。
这次漏洞会影响什么？
PHP 是 WordPress 网站运行时使用的程序。WP Panel 按官方安装脚本部署 PHP 8.3，并通过 PHP-FPM 为网站处理请求。这次问题出在 PHP 本身，不是某个 WordPress 插件或主题的问题。
如果攻击者成功利用漏洞，可能进一步控制正在处理请求的 PHP 进程。WP Panel 为每个网站使用独立的系统用户和 PHP-FPM 池，有助于限制一个网站影响其他网站，但这不能代替更新 PHP，也不能保证漏洞利用后没有损失。
发现漏洞不等于你的服务器已经被入侵。它表示运行受影响 PHP 版本的服务器需要尽快安装修复包。只更新 WordPress 核心、插件或主题，不能修复 PHP 本身的问题。
WP Panel 用户现在该怎么做？
- 登录 WP Panel，打开“设置 → 系统更新”。
- 点击“刷新”查看可更新的软件包。WP Panel v1.9.0 起，“刷新”会先更新软件源的软件包索引，再重新检查列表，看到的就是软件源当前提供的结果；它仍然只是检查，不会安装更新。如果列表中有更新，再点击“一键更新”按钮，等待后台任务结束，并留意页面显示的结果或重启提示。
- 更新后，在“软件管理”中查看 PHP-FPM 版本。WP Panel 使用 PHP 8.3，官方对应的修复版本是 8.3.36。软件包版本后面可能带有 Debian 或软件源的附加标记。
v1.8.0 及更早版本的“刷新”只读取系统当前保存的软件包列表（为减轻负担，面板会缓存结果最多 5 分钟），“已是最新”并不代表软件源里真的没有更新。v1.9.0（2026年10月22日发布）改进了这一点：点击“刷新”会先更新软件源索引再查询；面板每天也会自动刷新一次并检查更新，最近的时间、结果和数量显示在“设置 → 系统更新”卡片中。建议先升级面板再核对（v1.9.0 无数据库结构变化，可直接升级）；如果暂时不升级，“已是最新”仍可能只是软件源索引太旧，请手动核对 PHP-FPM 版本。
无论哪个版本，真正执行“一键更新”时，WP Panel 都会刷新软件源、先做完整升级模拟，确认升级计划不会删除软件包后才真正安装，保留现有配置并在完成后检查各服务。我们在一台按 WP Panel 官方脚本安装的 Debian 服务器上核对过：更新 Sury PHP 官方源的软件包索引后，系统更新模拟结果包含 PHP 8.3.36，且没有因计划删除软件包而被拦截。这是该服务器当时的结果，不代表其他服务器的软件源状态。
如果系统更新没有更新 PHP
不同服务器可能使用不同的软件源或镜像；有些镜像同步会晚一些。如果系统更新页面没有提供 PHP 更新，或者更新完成后 PHP-FPM 仍显示旧版本，漏洞就还没有通过这次更新修复。请联系服务器服务商或 WP Panel 支持，说明 PHP 版本和系统更新结果，并请他们确认软件源是否已有修复包。
不要从不熟悉的网站下载 PHP 安装包，也不要为了这次漏洞自行更换软件源或复制网上的临时配置。PHP 官方说明，配置调整只能降低部分攻击路径的风险，不能代替安装修复版。PHP 官方公告与更新建议
简要来说：“刷新”不是安装按钮。v1.9.0 起“刷新”会先更新软件源，“已是最新”的判断更可靠；旧版本里“已是最新”则可能只是索引太旧。安装后仍应核实 PHP-FPM 版本是否已包含修复；若没有，可能是镜像尚未提供修复包，需进一步确认软件源情况。
面板这次对系统更新检查的改进，详见《WP Panel v1.9.0 正式发布：系统更新每天自动检查》。v1.9.0 还新增了可选的“有可用更新时自动安装系统更新”开关，默认关闭；开启后这类安全更新会在每天检查发现后自动安装，并保留同样的删除保护和服务检查。
