WordPress PHP漏洞修复需五步：一、更新核心文件；二、禁用并移除高危插件；三、扫描清理被篡改PHP文件；四、加固wp-config.php配置；五、启用PHP安全模式限制危险函数。
如果您发现WordPress网站存在PHP漏洞，这通常意味着攻击者可能利用过时的插件、主题或核心文件中的安全缺陷进行恶意操作。以下是针对该问题的专项修复流程：
一、更新WordPress核心文件
WordPress官方会定期发布安全补丁以修复已知PHP漏洞，保持核心版本为最新可直接消除大量历史漏洞风险。
1、登录WordPress后台管理界面，进入“仪表盘 > 更新”页面。
2、检查是否有可用的核心更新提示，若有，点击立即更新按钮执行自动升级。
立即学习“PHP免费学习笔记（深入）”；
3、若自动更新失败，手动下载与当前版本兼容的最新WordPress安装包，通过FTP替换wp-admin和wp-includes目录及根目录下的PHP文件（保留wp-config.php和wp-content目录）。
二、禁用并移除高危插件
第三方插件是WordPress PHP漏洞的主要来源，尤其是一些长期未维护或从非官方渠道获取的插件，其代码中可能存在未经校验的eval()、system()等危险函数调用。
1、进入“插件 > 已安装插件”，将所有插件状态设为停用。
2、逐个启用插件并访问前台页面，观察是否触发500错误或异常输出；一旦定位到问题插件，立即从服务器删除其整个文件夹。
3、检查wp-content/plugins/目录下是否存在命名可疑的文件夹（如base64、shell、phpinfo等），直接通过FTP或SSH彻底删除。
三、扫描并清理被篡改的PHP文件
攻击者常在合法PHP文件中注入恶意代码，例如在wp-config.php末尾追加base64_decode执行语句，或在主题functions.php中插入ob_start回调函数劫持输出。
1、使用命令行工具在网站根目录执行：grep -r "eval.*base64_decode\|shell_exec\|system\|passthru" . --include="*.php"。
2、对返回结果中的每个文件，用文本编辑器打开并检查第1行至第5行及文件末尾，查找非预期的长字符串或混淆代码段。
3、将确认被注入的文件恢复为原始版本，或从干净备份中提取对应文件覆盖，严禁仅删除可疑行而保留残留后门。
四、加固wp-config.php配置
wp-config.php包含数据库凭证等敏感信息，若该文件可被Web直接访问或其权限设置不当，将加剧PHP漏洞利用后果。
1、通过FTP将wp-config.php移动到网站根目录的上一级目录（如/public_html/的上级），确保其不在Web可访问路径内。
2、在原位置创建空白wp-config.php，并写入：die('Direct access not permitted');。
3、修改服务器中该文件的权限为600（Linux系统执行chmod 600 wp-config.php）。
五、启用PHP安全模式限制
通过服务器级PHP配置限制危险函数执行，可有效阻断多数利用PHP漏洞的远程代码执行行为。
1、在网站根目录创建或编辑.htaccess文件，在其中添加：php_flag disable_functions "exec,passthru,shell_exec,system,proc_open,popen,curl_exec,dl,eval"。
2、若使用Nginx服务器，则需编辑站点配置文件，在fastcgi_param区块中加入：fastcgi_param PHP_VALUE "disable_functions=exec,passthru,shell_exec,system,proc_open,popen,curl_exec,dl,eval";。
3、重启Web服务使配置生效，并访问phpinfo()页面验证disable_functions参数是否已加载成功。
