尊敬的腾讯云 WordPress、WooCommerce 镜像用户：
针对 PHP CVE-2026-109618、CVE-2026-109619 两项严重远程代码执行漏洞，宝塔已提供相关安全修复版本。使用腾讯云轻量应用服务器 WordPress、WooCommerce 镜像，且通过预装宝塔面板管理 PHP 的用户，请及时检查并完成更新。
请先核对网站实际使用的 PHP 分支，并选择对应安全修复版本。下表以 PHP 8.3、PHP 8.0 为例：
| 网站使用的 PHP 分支 | 本次漏洞对应修复版本 | 更新方式 |
|---|---|---|
| PHP 8.3 | 8.3.36，PHP 官方安全修复版 | 宝塔面板软件商店直接更新 |
| PHP 8.0 | 8.0.31，宝塔 Linux 安全修复版 | 宝塔面板软件商店直接更新 |
如果网站使用其他 PHP 版本，请参照 PHP 官方安全公告 及 宝塔 PHP 安全更新公告，确认对应修复版本和更新方式。
截图以 WordPress 镜像为例，WooCommerce 镜像用户可按相同步骤操作。截图中的软件版本用于演示操作位置，升级目标请以网站实际使用的 PHP 分支所对应的安全修复版本为准。
一、已登录过宝塔面板的用户
如果您已保存宝塔面板入口及登录信息，可直接操作：
- 在浏览器中打开此前使用的宝塔面板登录地址。
- 使用自己的面板账号和当前密码登录；如已经修改过密码，请使用修改后的密码。
- 进入「软件商店」，按照下文「四、通过软件商店更新 PHP」完成对应 PHP 分支的安全更新。
如果不知道面板地址，或找不到此前保存的入口，请先按下一节登录服务器，执行 bt 14 查看。
二、不知道面板入口时，先登录服务器
1. 从腾讯云控制台打开服务器终端
-
登录 腾讯云轻量应用服务器控制台。
-
在「服务器」列表中选择部署 WordPress 或 WooCommerce 的实例，进入实例详情页。
-
选择「应用管理」，可在「应用内软件信息」中查看镜像信息及 PHP 分支；单击实例详情页右上角的
登录，打开服务器远程登录窗口。
-
按页面提示选择免密登录或 SSH 登录，通过 OrcaTerm 等终端连接该服务器。看到命令提示符后，再执行下面的命令。若连接失败，可参照 腾讯云使用 OrcaTerm 登录 Linux 实例的说明 排查。
2. 执行 bt 14 获取面板入口
如果当前登录用户不是 root，请先执行以下命令切换到 root：
sudo -i然后执行：
bt 14命令执行后，请按以下方式读取结果：
- 找到「外网 IPv4 面板地址」，复制完整地址，在自己电脑的浏览器中打开。地址包含端口及安全入口路径，请一并保留。
username对应宝塔面板登录账号。password对应初始登录密码。尚未首次登录、且未修改密码时，可按终端实际提示使用。
如果您之前登录过面板，或已修改面板密码，初始密码可能无法继续使用。 此时请使用当前面板密码；若已忘记，可在服务器终端执行以下命令，按提示设置新的面板登录密码后再登录：
bt 5这里使用的是宝塔面板登录账号，WordPress 后台管理员账号和宝塔官网账号各有用途，请根据页面提示分别填写。更多命令说明参见 宝塔命令行工具。
3. 面板地址无法打开时
先确认访问地址与 bt 14 返回的完整外网地址一致，并检查实例是否正常运行。若提示连接超时，请在腾讯云实例的「防火墙」中检查实际面板 TCP 端口是否放行，并检查服务器操作系统防火墙；如已修改过端口，请以当前实际端口为准。
放行时建议将来源限制为自己的公网 IP。具体操作参见 腾讯云管理实例防火墙。
三、如提示绑定宝塔官网账号
首次进入面板时，如果出现「绑定宝塔官网账号」页面，请按以下步骤处理；已绑定且可以正常进入面板的用户可直接继续更新 PHP。
- 在「宝塔官网账号」中填写自己的宝塔官网账号，并输入对应密码。
- 单击
登录，按页面提示完成绑定。 - 如果尚无宝塔官网账号，可先单击
注册账号完成注册，再返回此页面登录绑定。
四、通过软件商店更新 PHP
以下以 PHP 8.3、PHP 8.0 为例，说明通过软件商店更新的步骤。其他分支请先参照前述公告确认更新方式。
-
在宝塔面板左侧单击
软件商店，选择已安装。 -
先单击右上角的
更新软件列表 / 支付状态，等待软件信息刷新完成。 -
在列表中找到网站实际使用的 PHP 分支，例如
PHP 8.3或PHP 8.0，单击该行右侧的更新。 -
核对更新提示，确认已完成备份后，按页面提示更新至对应安全修复版本。例如，PHP 8.3 更新至 8.3.36，PHP 8.0 更新至 8.0.31。
-
等待更新完成，确认安装过程没有报错，并核对 PHP 实际版本。
-
确认对应 PHP 服务已重启；如果更新过程未重启服务，请打开该 PHP 的
设置，在服务管理中执行重启，使修复后的版本生效。
五、更新后检查网站及 PHP 扩展
更新完成后，请逐项检查：
- PHP 版本与扩展：核对更新后的版本，并确认网站所需 PHP 扩展正常加载。
- WordPress 网站：检查首页、文章页面、后台登录、图片上传及常用插件功能。
- WooCommerce 商店：检查商品展示、购物车、结算页面及订单后台，并按业务测试流程验证支付相关功能。
- 数据库与日志：确认数据库连接正常，并查看 PHP 错误日志及网站日志是否出现新的异常。
PHP 8.0 已停止 PHP 官方安全维护，本次宝塔修复版用于处置相关漏洞，仍建议结合 WordPress、WooCommerce 及所用插件的兼容情况，规划迁移至受支持的 PHP 版本。
如需进一步了解漏洞修复、首页风险一键加固及配套安全防护，请参阅 PHP 严重安全漏洞修复及防护方案。
如在面板登录或 PHP 更新过程中遇到问题，请扫描下方二维码联系宝塔客服，获取协助。
参考资料
宝塔面板
2026 年 10 月 23 日