PHP 宣布关键安全发布，修复两个严重漏洞
PHP 官方发布了一项安全更新，修复了在 PHP 中发现的两个安全漏洞。由于这些问题被评为「严重」级别，站点所有者应立即升级自己的 PHP 环境。
问题不限于 WordPress，任何运行 PHP 应用的服务器都会受到影响。官方也明确表示：WordPress 本身不需要、也没有计划为此发布更新。
需要马上做的三件事
- 检查当前 PHP 版本。在 WordPress 后台进入「工具 → 站点健康 → 信息 → 服务器」（Tools > Site Health > Info > Server），即可看到站点正在使用的 PHP 版本；多数主机商也会在主机管理面板中提供同样的信息。
- 确认主机商是否已处理。你的主机商可能已经在升级 PHP，并配置了 WAF（Web 应用防火墙）规则来缓解这些漏洞。但仍需主动查看主机商的通知，必要时自行完成更新。
- 老版本服务器考虑暂时下线。PHP 8.2 之前的版本已不再获得 PHP 项目的安全更新。如果你使用的是自行管理的服务器，且当前版本早于 8.2，建议在完成升级前先让服务器下线。
为什么建议「下线」而不是边跑边升
这一建议并非 SourceFlow 一家之言，多个国家的网络安全机构都在发布同样的提醒。以英国国家网络安全中心（NCSC）为例，其公告中的表述是：
Where immediate remediation is not feasible, organisations should consider taking the system offline until it can be fully mitigated.
即：在无法立即完成修复的情况下，组织应考虑将系统下线，直到漏洞得到完全缓解。
对 WordPress 站点的影响范围
- 漏洞利用与 WordPress 无关，属于 PHP 运行时层面的问题；
- 不需要为了这次事件去更新 WordPress 核心；
- 真正的暴露点在于：你的站点是否还在跑一个已经停止安全维护的 PHP 版本。
一句话总结：先在站点健康里确认 PHP 版本号，然后推动主机商或自己完成升级；版本过旧且短期无法修复的站点，应先下线。
