Laman masih boleh dibuka, borang berfungsi dan pelanggan boleh membuat pesanan. Semuanya nampak normal. Namun, itu tidak bermakna perisian yang menjalankan laman sudah menerima pembaikan keselamatan.
Pada 21 Oktober 2026, pasukan PHP mengeluarkan kemas kini untuk dua kelemahan kritikal yang dikenali sebagai PHP2Shell. Kelemahan ini boleh membolehkan penyerang menjalankan kod pada pelayan yang terjejas tanpa perlu log masuk.
Apa kaitan PHP dengan WordPress?
WordPress menggunakan PHP untuk memproses arahan dan menghasilkan kandungan laman pada pelayan hosting.
Jadi, mengemas kini WordPress, tema dan plugin sahaja tidak membaiki kelemahan ini. PHP yang digunakan oleh laman juga perlu dikemas kini, biasanya melalui penyedia hosting atau pentadbir pelayan.
Versi PHP mana yang mengandungi pembaikan?
Berikut versi pembaikan yang diumumkan pada 21 Oktober 2026:
| Cabang PHP | Versi pembaikan |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Jika menggunakan versi terdahulu dalam cabang yang sama, semak segera dengan hosting. Sesetengah vendor memasukkan pembaikan ke dalam pakej mereka tanpa menggunakan nombor versi keluaran rasmi di atas. Minta pengesahan bahawa kedua-dua kelemahan sudah ditampal.
Empat perkara yang perlu dibuat sekarang
| Langkah | Tindakan |
|---|---|
| Semak versi sebenar | Dapatkan nombor versi penuh yang menjalankan laman anda. Label “PHP 8.3” sahaja belum mencukupi. |
| Hubungi hosting | Minta pengesahan pembaikan bagi CVE-2026-109618 dan CVE-2026-109619. |
| Pastikan sandaran tersedia | Sediakan salinan terkini fail laman dan pangkalan data sebelum kemas kini dibuat. |
| Uji fungsi penting | Selepas kemas kini, cuba log masuk, hantar borang, muat naik gambar dan semak proses pembelian jika menggunakan WooCommerce. |
Tidak semestinya perlu terus bertukar daripada PHP 8.2 kepada PHP 8.5. Pilih versi yang masih disokong, mengandungi pembaikan dan serasi dengan laman. Aturkan semakan keserasian bersama hosting supaya pembaikan tidak tertangguh.
Bagaimana jika masih menggunakan PHP lama?
PHP 8.1 dan lebih lama sudah tamat sokongan biasa daripada projek PHP. Pembaikan khas mungkin tersedia melalui vendor tertentu, tetapi statusnya perlu disahkan. Rancang juga perpindahan ke versi yang masih disokong.
Jika kemas kini belum dapat dilakukan, minta pentadbir menilai langkah sementara, termasuk mengehadkan atau mengasingkan akses awam jika perlu. Langkah ini tidak menggantikan pembaikan PHP.
Pemilik laman tidak perlu mengubah tetapan pelayan sendiri jika kurang pasti. Mulakan dengan mesej ringkas kepada hosting:
“Boleh sahkan versi PHP yang digunakan oleh laman saya dan sama ada pembaikan CVE-2026-109618 serta CVE-2026-109619 sudah dilaksanakan?”
Jawapan itu membantu menentukan tindakan seterusnya, tanpa bergantung pada andaian bahawa laman yang masih berfungsi sudah selamat.
Sumber rujukan:
