关于修复PHP漏洞（PHP2SHELL）问题的专项公告

尊敬的各位用户：

2026年10月21日，国家信息安全漏洞共享平台（CNVD）收录两个PHP远程代码执行漏洞，编号为CNVD-2026-41674、CNVD-2026-41675，对应CVE-2026-109618、CVE-2026-109619，业界合称PHP2SHELL；同日，PHP官方发布安全更新及修复版本。米拓自漏洞公布之日起，开展了为期一周的升级与修复工作。截至2026年10月29日，凡服务器（空间）运维工作由我司承担的网站，均已完成PHP2SHELL漏洞修复，用户无需再次处理；服务器、空间由用户自行管理的，请按本公告第三条完成升级。现将有关情况公告如下：

一、关于漏洞基本情况

（一）漏洞背景

据CNVD公告，此次公布的PHP解释器内核存在逻辑处理缺陷，级别为“高危”，并指出漏洞技术细节与PoC已广泛传播。详见国家互联网应急中心安全公告。

（二）影响范围

据CNVD公告，已知受漏洞影响的PHP版本包括：8.2.35之前的8.2.x版本、8.3.36之前的8.3.x版本、8.4.27之前的8.4.x版本、8.5.12之前的8.5.x版本以及所有8.2以下版本（含8.1、8.0、7.x、5.x）。升级至8.2.35、8.3.36、8.4.27、8.5.12中任一版本即可，无需与原有分支一一对应。

除PHP本身外，凡运行受影响PHP版本的Web应用均在影响范围之内，包括WordPress、DedeCMS等基于PHP运行环境的CMS与框架，我司米拓企业建站系统（MetInfo）所运行的网站亦不例外。

（三）与MetInfo软件的关系

本次漏洞存在于PHP解释器内核，属PHP运行环境层面的问题，与MetInfo软件自身的历史漏洞无关。凡运行受影响PHP版本的服务器均在影响范围之内，与使用何种建站程序无关。我司的处理方式为：在运行环境与软件版本两个层面同步完成升级。

二、已完成的工作

（一）对米拓官网、用户中心等自有平台进行安全升级，相关问题已妥善解决。

（二）对采购“服务器运维服务”以及所购套餐中包含该项服务的用户，完成服务器环境升级和软件版本升级，相关问题已妥善解决。

（三）对采购“源码托管服务”以及所购套餐中包含该项服务的用户，完成服务器环境升级和软件版本升级，相关问题已妥善解决。

通过以上工作，凡服务器（空间）运维工作由我司承担的网站，均已完成PHP2SHELL漏洞修复。用户收到相关网站整改通知的，回复“有关安全问题已经根据指南进行了修复”即可。我司代售的西部数码及其它虚拟主机平台的虚拟主机不在此列，用户可以根据第三条自行升级。

三、升级方法

服务器、空间由用户自行管理的，请按以下三步完成升级。三步全部完成，网站即恢复至安全状态。

（一）升级PHP版本

PHP官方发布的修复版本为8.2.35、8.3.36、8.4.27、8.5.12，从中任选一个版本升级即可，不必与原有PHP分支一一对应。

升级完成后，须重启所有PHP工作进程；开启OPcache的实例，须同步执行缓存失效处理。米拓官网采取的方案是全部直接升级至8.5.12。

（二）升级MetInfo系统至V8.1版本

将米拓企业建站系统升级至V8.1版本，清除系统缓存，检查网站前台是否可以正常访问。

经测试确认，MetInfo V8.1版本对PHP官方推荐的8.2.35、8.3.36、8.4.27、8.5.12四个版本全面兼容。收费模板亦已完成对上述版本的兼容适配，并已发布必要的模板更新补丁。

相关教程与下载地址如下：

1. 网站升级教程：https://doc.metinfo.cn/metinfo/safe/safe535.html

2. V8.1版本安装包：https://www.metinfo.cn/download/92.html（免费使用时请务必保留版权标识和链接）

3. 收费模板升级：https://doc.metinfo.cn/metinfo/template/template562.html

4. 网站插件升级：https://doc.metinfo.cn/metinfo/apply/apply597.html

（三）升级收费模板与应用插件

将收费模板、应用插件升级至最新版本，再次清除系统缓存，检查网站前台是否可以正常访问。升级至V8.1版本后出现“管理后台可访问、网站前台无法访问”情形的，多因收费模板版本未同步更新所致，请优先执行收费模板升级。

四、检验与自查

升级完成后，建议按以下建议进行自查。

（一）通过网站后台的“检查更新”检查PHP版本和MetInfo系统版本。

（二）访问网站前台首页及内页，确认页面正常渲染，无空白、无报错。

（三）检查服务器是否存在异常进程、可疑命令执行记录等入侵迹象，确认无异常条目。

第三项不可省略。补丁更新仅能阻断新的攻击，无法清除已存在的后门。发现异常进程或可疑执行记录的，请立即与我司客服联系。

五、常见问题与解答

（一）问：我的网站服务器由米拓托管，还需要自己操作吗？

答：不需要。凡服务器、空间运维工作由我司承担的网站，均已完成PHP2SHELL漏洞修复。收到相关网站整改通知的，回复“有关安全问题已经根据指南进行了修复”即可。

（二）问：服务器由我自己管理，MetInfo需要升级到哪个版本？

答：需同时完成三项升级：将PHP升级至8.2.35、8.3.36、8.4.27、8.5.12中的任一版本；将MetInfo升级至V8.1版本。完成后再升级收费模板与应用插件。

（三）问：MetInfo V8.1支持PHP 8.4.27和8.5.12吗？

答：支持。虽然V8.1版本发布时公告文档没有涉及到支持PHP 8.4.27和8.5.12，本次经测试确认，MetInfo V8.1版本对PHP 8.2.35、8.3.36、8.4.27、8.5.12四个版本全面兼容；收费模板亦已完成兼容适配，并已发布必要的模板更新补丁。

（四）问：升级后管理后台能进、网站前台打不开，是什么原因？

答：多因收费模板版本未同步更新所致。请优先执行收费模板升级，并再次清除系统缓存。仍无法解决的，请与我司官方客服联系。

（五）问：升级完成后，怎么确认网站已经修复到位？

答：按本公告第四条自查：确认PHP版本、后台确认系统版本为V8.1、前台访问正常、服务器无异常进程与可疑命令执行记录。四项均通过即视为修复到位。

（六）问：我的PHP版本低于8.2（如7.4），应该怎么处理？

答：MetInfo V8.1是支持PHP5.6~8.5.12的，你只要按照我们问题（二）的步骤升级即可。

（七）问：网站可能已经被入侵了，现在该怎么处理？

答：应立即隔离或临时下线受影响站点，参考《网站被黑了怎么办？》的建议处理。必要时可联系我司客服协助处置。

（八）问：网站不是用米拓建的，你们能处理吗？

答：可以。我司可提供必要的付费技术服务方案，亦可采用1:1复刻方式将网站迁移至MetInfo。

六、日常安全维护和其它

我司已建立系统、模板、插件三个维度的升级机制。对安全机构报告的漏洞问题，均通过“升级”方式向用户提供免费处理方案。请各位用户、网站管理员及时查看网站后台“升级”按钮是否被激活，按时点击升级即可解决安全漏洞问题。

如你的网站在升级至V8.1版本后出现各类错误，请及时与我司官方客服联系：属于官方升级中未覆盖的情况，我司将尽快发布升级；属于非官方因素，我司亦将提供解决方案和建议。无法自行完成上述升级操作的用户，可联系我司咨询付费服务。

修复期间，用户网站及米拓用户中心的访问出现异常，导致部分用户网站更新、管理工作未能正常进行。此为保障用户整体安全不得不采取的措施，由此给你造成的不便，我司深表歉意，并感谢你的理解与包容。上述问题自2026年10月29日下午起逐步恢复。

特此公告。

长沙米拓信息技术有限公司

2026年10月29日