导读
修复版本是 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12；还在用 PHP 8.1 或更老版本的朋友注意：那些分支官方已经不修了，只能升级分支。工具代码：https://github.com/PHPatch/phpscan （MIT 开源，Python 3.11+，零依赖；
【编辑部】这对你意味着什么
如果你在美国运营WordPress博客、论坛或小型商城，这条新闻和你直接相关：原文称该漏洞影响所有跑PHP的网站。文章提供了一个免费开源扫描工具，它只读网站自己公开的信息来比对版本，绝不发送任何漏洞利用探针。如果你的网站隐藏了版本号，它会如实提示外部无法确认，需要你上服务器用命令核对，不会瞎猜。仍在用官方已不修复的旧分支的站长，按原文说法只能升级分支。
10 月 21 日 PHP 爆出的 php2shell 漏洞（CVE-2026-109618 / 109619，CVSS 9.2，不用登录就能远程执行代码）影响所有跑 PHP 的网站——WordPress、论坛、商城都算。修复版本是 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12；还在用 PHP 8.1 或更老版本的朋友注意：那些分支官方已经不修了，只能升级分支。
我们做了一个免费开源的小工具 phpscan，专门查这件事：
pip install phpscan
phpscan https://你的网站.com
它和网上一些同类工具最大的区别，是绝不发送任何漏洞利用探针。有些扫描器是靠构造请求把目标站的 PHP 打到内存崩溃来判断有没有漏洞——对真有漏洞的生产站，这等于先把人家打挂一次。phpscan 只读你网站自己公开的信息（响应头等）来比对版本；如果你的站隐藏了版本号，它会如实告诉你「VERSION HIDDEN（外部无法确认）」，让你上服务器用 php -v 核对，绝不瞎猜。每个「有问题」的结论都直接写明该升到哪个版本。
不想装东西的话，phpatch.com 上有同一个扫描的免费在线版。不用注册。
顺带交代一下我们自己：mitbbs.ai 在漏洞披露当晚就完成了修补（PHP 8.3.35 → 8.3.36，mod_php，停机约 10 秒），全过程记录成了案例放在 https://phpatch.com/case-studies/mitbbs-ai ，有兴趣的朋友可以看看一个中小站点是怎么在一夜之间完成「扫描 → 快照 → 打补丁 → 验证」的。
工具代码：https://github.com/PHPatch/phpscan （MIT 开源，Python 3.11+，零依赖；也有 Docker 镜像和 GitHub Action）。另外它还能审计 composer.lock 依赖：phpscan audit composer.lock，离线比对 OSV、FriendsOfPHP 公告和 CISA KEV。
自己的站，早查早安心。
【编辑部】今日讨论
你或家人是否在运营WordPress、论坛或商城类网站？遇到这类漏洞通报时，你更倾向先用只读扫描工具自查，还是直接登录服务器核对版本？
