PHP 在 2026 年 10 月 21 日紧急发布补丁，修复两个可导致未认证远程代码执行（RCE）的高危漏洞，统称 PHP2Shell，对应 CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 评分高达 9.2。漏洞位于 PHP 核心的内存管理与错误处理路径，影响几乎所有 PHP 版本，攻击可以不经过任何应用代码直接打到服务器。本文讲清楚漏洞是什么、风险有多高、哪些版本受影响，并给出今天就能做的处置清单——以及用 Docker 跑 WordPress 时，为什么"光换镜像不重建容器"能漏掉这次修复，该怎么正确升级。