如果你在 WebProject 的 VPS 或虚拟主机上运行 PHP 应用，应该区分主机平台已打补丁和自己维护的软件仍需升级。WebProject 在 2026 年 10 月 21 日的官方状态页宣布已为其服务部署 PHP 修复，状态写为 Resolved, monitoring，并称更新期间没有停机；这是供应商的部署声明，不是对每个用户站点的独立安全审计。
WebProject 公告究竟确认了什么？
公告说 PHP 远程代码执行（RCE）漏洞已公开，平台已更新并将持续监控；状态页没有列出各台 VPS 的运行版本、虚拟机内部软件是否由用户维护，也没有提供具体漏洞编号与受影响客户清单。因此，这篇商家动态只记录 10 月 21 日的官方响应，暂不把个别客户系统标记为“已经完成补丁验收”。
放在 2026 年 10 月的行业背景中看
PHP 项目官方 2026 年公告于 10 月 21 日发布紧急更新，修复 CVE-2026-109618 与 CVE-2026-109619 两项可导致远程代码执行的问题。官方上游修复版本分别为 PHP 8.5.12、8.4.27、8.3.36、8.2.35。这里的时间线帮助理解行业为什么集中修补，WebProject 公告本身并未指名这两个 CVE，所以不能据同日发布推定它公布了对应的全部技术细节。
其他托管商的处理也提供了实用提醒：GoDaddy 更新说明指出有些厂商采用回溯补丁，版本号可能保持不变；Kinsta 的事后复盘则描述了分批部署、额外防护和完成后的核验。两者是其他服务商的案例，不能拿来证明 WebProject 的具体补丁批次。
VPS 用户应如何验收？
- 确定责任边界：区分 WebProject 托管管理的 PHP 运行环境，与 VPS 里由你自行安装、维护的 PHP、容器及 WordPress 组件。可以参考其服务条款界定服务范围。
- 核对补丁证据：记录控制面板或软件包管理器显示的 PHP 版本与构建信息；使用发行版安全公告核对是否包含回溯补丁，不只依赖一个裸版本号。对无法看到版本信息的托管项目，询问服务商当前补丁覆盖范围。
- 检查应用和监控：更新仍受维护的 WordPress 核心、插件及主题，查看日志与异常登录，保留备份并在变更后做功能回归。VPS 自管软件的更新责任要单独落实。
本站已发布过一篇PHP 2026 年高危漏洞与通用升级步骤，这里不重复技术操作大全，重点是 WebProject 这一商家的公告边界和用户可执行的核对路径。
决策阈值：若你的 PHP 环境由服务商完全管理，可根据状态页与工单确认补丁覆盖；若你持有 VPS root 权限并自管软件，则必须取得自己的运行版本与安全更新证据，才能将该实例计入已完成修补的资产清单。
交流与讨论