WordPress में PHP वर्ज़न चेक और अपडेट कैसे करें

WordPress PHP पर चलता है, और PHP वर्ज़न से तय होता है कि साइट को अब भी सुरक्षा पैच मिलते हैं या नहीं। अक्टूबर 2026 में PHP में दो गंभीर सुरक्षा ख़ामियाँ मिलीं, जिन्हें सिर्फ़ PHP अपडेट करके ही ठीक किया जा सकता था। WordPress अपडेट करने से कोई फ़ायदा नहीं हुआ। इस गाइड में जानिए कि कुछ ही मिनटों में PHP वर्ज़न चेक कैसे करें, कौन-सा वर्ज़न सुरक्षित है और अपडेट इस तरह कैसे करें कि साइट न टूटे।

PHP2Shell: PHP वर्ज़न अब क्यों मायने रखता है

PHP ने 21 अक्टूबर 2026 को दो गंभीर सुरक्षा ख़ामियों (CVE-2026-109618 और CVE-2026-109619) के पैच जारी किए। इन ख़ामियों को PHP2Shell कहा जाता है। दोनों की गंभीरता 9.2/10 (CVSS 4.0) है। सबसे बुरी स्थिति में हमलावर बिना लॉग इन किए सर्वर पर अपने कमांड चला सकता है। Apache के mod_php वाले इंस्टॉलेशन में हमला WordPress का कोई भी कोड चलने से पहले ही शुरू हो सकता है।

हर PHP ब्रांच के वे सभी वर्ज़न प्रभावित हैं जो पैच रिलीज़ से पहले के हैं। पैच रिलीज़ ये हैं: 8.2.35, 8.3.36, 8.4.27 और 8.5.12। PHP 8.1 और उससे पुराने वर्ज़न को अब PHP प्रोजेक्ट से कोई अपडेट नहीं मिलता। 23 अक्टूबर को PHP ने एक तीसरी ख़ामी (CVE-2026-115560) की भी जानकारी दी। इसका दुरुपयोग करने के लिए सेटिंग्स और ऐप्लिकेशन कोड का एक दुर्लभ मेल चाहिए। इसे अगली सामान्य रिलीज़ में ठीक किया जाएगा।

फ़िनलैंड के राष्ट्रीय साइबर सुरक्षा केंद्र (NCSC-FI) के अनुसार 21 अक्टूबर को इन ख़ामियों के सक्रिय दुरुपयोग की कोई जानकारी नहीं थी, लेकिन काम करने वाले उदाहरण कोड पहले से मौजूद थे। इसलिए हालात जल्दी बदल सकते हैं।

PHP के लिए साल में कई बार सुरक्षा पैच आते हैं, लेकिन वे सिर्फ़ उन्हीं वर्ज़न ब्रांच को मिलते हैं जिन्हें सपोर्ट मिल रहा है। हर ब्रांच को लगभग चार साल तक पैच मिलते हैं। उसके बाद मिलने वाली ख़ामियाँ खुली रह जाती हैं। इसलिए PHP वर्ज़न नियमित रूप से चेक करते रहें, सिर्फ़ तब नहीं जब कोई ख़ामी ख़बरों में हो।

PHP वर्ज़न कैसे चेक करें

WordPress के एडमिन पैनल से

1. WordPress में एडमिनिस्ट्रेटर के रूप में लॉग इन करें।
2. बाएँ मेन्यू में टूल्स → साइट स्वास्थ्य चुनें (अंग्रेज़ी WordPress में: Tools → Site Health)।
3. जानकारी (Info) टैब खोलें और उसमें सर्वर (Server) सेक्शन देखें।
4. PHP संस्करण (PHP version) वाली पंक्ति में पूरा वर्ज़न नंबर दिखता है, जैसे 8.3.36।

पूरा नंबर देखें। ब्रांच (8.3) बताती है कि वर्ज़न को अब भी सपोर्ट मिलता है या नहीं, और आख़िरी नंबर (36) बताता है कि सबसे नया पैच लगा है या नहीं। अगर वर्ज़न पुराना हो चुका है, तो WordPress डैशबोर्ड पर PHP अपडेट आवश्यक है की चेतावनी भी दिखाता है। फिर भी चेतावनी का इंतज़ार न करें, नंबर ख़ुद चेक करें।

होस्टिंग के कंट्रोल पैनल से

ज़्यादातर वेब होस्टिंग में PHP वर्ज़न कंट्रोल पैनल में दिखता है और वहीं से बदला भी जा सकता है। cPanel में यह विकल्प आम तौर पर MultiPHP Manager या Select PHP Version नाम से होता है। Plesk में यह हर डोमेन की PHP सेटिंग्स में मिलता है। अगर आपको यह न मिले, तो अपने होस्टिंग प्रोवाइडर से पूछें कि आपकी साइट पर कौन-सा PHP वर्ज़न है और अक्टूबर 2026 का पैच लगा है या नहीं।

सर्वर से (एडमिनिस्ट्रेटर के लिए)

अपने सर्वर पर php -v चलाने से कमांड लाइन वाले PHP का वर्ज़न पता चलता है। ज़रूरी नहीं कि साइट भी उसी PHP पर चले, क्योंकि वेब सर्वर PHP-FPM या Apache मॉड्यूल के ज़रिए कोई दूसरा वर्ज़न इस्तेमाल कर सकता है। सबसे भरोसेमंद जानकारी WordPress के साइट स्वास्थ्य पेज पर मिलती है।

Debian, Ubuntu और Red Hat जैसे Linux डिस्ट्रीब्यूशन अक्सर वर्ज़न नंबर बदले बिना पैच को अपने पैकेज में जोड़ देते हैं। इसलिए नंबर पुराना दिख सकता है, जबकि पैच लगा हुआ है। ऐसे में पैकेज का चेंजलॉग देखें कि उसमें CVE नंबरों का ज़िक्र है या नहीं।

कौन-सा PHP वर्ज़न सुरक्षित है?

सुरक्षित वर्ज़न की दो शर्तें हैं: उसकी ब्रांच को अब भी सुरक्षा पैच मिलते हों, और सर्वर पर उस ब्रांच की सबसे नई पैच रिलीज़ लगी हो। अक्टूबर 2026 में स्थिति यह है:

PHP ब्रांच	सुरक्षा सपोर्ट कब तक	PHP2Shell किस वर्ज़न में ठीक हुआ
8.5	31 दिसंबर 2029	8.5.12
8.4	31 दिसंबर 2028	8.4.27
8.3	31 दिसंबर 2027	8.3.36
8.2	31 दिसंबर 2026	8.2.35
8.1 और पुराने	ख़त्म हो चुका (8.1: 31 दिसंबर 2025, 7.4: 28 नवंबर 2022)	कोई आधिकारिक रिलीज़ नहीं

WordPress PHP 8.3 या नए वर्ज़न की सलाह देता है। यह अब भी PHP 7.4 पर चलता है, लेकिन wordpress.org चेतावनी देता है कि पुराना वर्ज़न साइट को सुरक्षा जोखिमों में डाल सकता है। PHP 8.2 का सपोर्ट 2026 के अंत में ख़त्म हो रहा है। अगर आपकी साइट इसे इस्तेमाल करती है, तो 8.3 या 8.4 पर जाने की योजना अभी से बनाएँ।

वर्ज़न 7.4, 8.0 और 8.1 के लिए PHP की सुरक्षा टीम ने PHP2Shell का पैच सिर्फ़ सोर्स कोड के रूप में जारी किया, उन लोगों के लिए जो PHP ख़ुद कंपाइल करते हैं। कुछ Linux डिस्ट्रीब्यूशन और होस्टिंग प्रोवाइडर पुराने वर्ज़न के लिए अपने पैच किए हुए पैकेज बनाते हैं। फिर भी स्थायी समाधान सपोर्ट वाले वर्ज़न पर जाना ही है।

PHP अपडेट कैसे करें

वेब होस्टिंग में

एक ही ब्रांच के पैच (जैसे 8.3.35 → 8.3.36) वेब होस्टिंग में आम तौर पर प्रोवाइडर ख़ुद लगाता है। ब्रांच बदलने का काम (जैसे 8.1 → 8.3) ज़्यादातर आपको ख़ुद कंट्रोल पैनल से करना होता है। इसे ऐसे करें:

1. बैकअप लें, फ़ाइलों और डेटाबेस दोनों का। कई होस्टिंग में यह कंट्रोल पैनल से हो जाता है।
2. WordPress, थीम और प्लगइन अपडेट करें। PHP अपडेट के दौरान साइट टूटने की एक आम वजह पुराना प्लगइन या थीम होता है।
3. पहले किसी कॉपी पर टेस्ट करें, अगर होस्टिंग में टेस्ट एनवायरनमेंट (staging) है।
4. कंट्रोल पैनल में PHP वर्ज़न बदलें।
5. पूरी साइट जाँचें: होमपेज, फ़ॉर्म, ऑनलाइन स्टोर का चेकआउट और एडमिन पैनल। साइट स्वास्थ्य पेज पर देखें कि नया वर्ज़न लागू हो गया है।

अगर कुछ टूट जाए, तो थोड़ी देर के लिए पिछले वर्ज़न पर लौट जाएँ, दिक़्क़त वाले प्लगइन को ठीक करें या बदलें और फिर से कोशिश करें। पुराने वर्ज़न पर टिके रहना ठीक नहीं।

अपने सर्वर पर

• डिस्ट्रीब्यूशन के अपडेट किए गए PHP पैकेज इंस्टॉल करें (जैसे apt upgrade या dnf upgrade) या पैच वाला वर्ज़न कंपाइल करें।
• PHP-FPM, Apache और PHP चलाने वाले बाक़ी प्रोसेस, जैसे बैकग्राउंड जॉब, रीस्टार्ट करें। पैच इसके बाद ही लागू होता है।
• अगर साइट कंटेनर में चलती है, तो पैच वाले PHP पर नई इमेज बनाएँ और उसे डिप्लॉय करें।
• आख़िर में साइट स्वास्थ्य पेज पर वर्ज़न चेक करें।

अगर तुरंत अपडेट न हो सके

PHP के अनुसार पूरा समाधान सिर्फ़ अपडेट है। अगर इसमें देर हो, तो सर्वर एडमिनिस्ट्रेटर उन सेटिंग्स से जोखिम घटा सकता है जिनकी सलाह PHP की सुरक्षा सूचनाओं में दी गई है। वेब होस्टिंग में सेटिंग्स आम तौर पर प्रोवाइडर तय करता है।

• session.upload_progress.enabled=0 ख़ामियों CVE-2026-109619 और CVE-2026-115560 पर हमले के पुष्ट तरीक़ों को रोकता है। PHP के अनुसार अगर इस सुविधा की ज़रूरत नहीं है, तो अपडेट के बाद भी इसे बंद रखना बेहतर है।
• PHP 8.5 में fatal_error_backtraces=0 हमले का एक और पुष्ट तरीक़ा बंद करता है।

इनमें से कोई भी सेटिंग CVE-2026-109618 से नहीं बचाती। सेटिंग्स से कुछ समय मिल सकता है, लेकिन वे अपडेट की जगह नहीं ले सकतीं।

अक्सर पूछे जाने वाले सवाल

क्या WordPress PHP को अपने आप अपडेट करता है?
नहीं। WordPress ख़ुद को अपडेट करता है, लेकिन PHP सर्वर का सॉफ़्टवेयर है, जिसे होस्टिंग प्रोवाइडर या सर्वर एडमिनिस्ट्रेटर अपडेट करता है। इसलिए WordPress अपडेट करने से PHP2Shell ख़ामियाँ ठीक नहीं होतीं।

WordPress के लिए कौन-सा PHP वर्ज़न चुनें?
WordPress PHP 8.3 या नए वर्ज़न की सलाह देता है। अक्टूबर 2026 में 8.3 और 8.4 अच्छे विकल्प हैं, बशर्ते सबसे नया पैच लगा हो और आपके प्लगइन उस वर्ज़न को सपोर्ट करते हों।

क्या PHP अपडेट से साइट टूट सकती है?
एक ही ब्रांच की पैच रिलीज़, जैसे 8.3.35 → 8.3.36, से शायद ही कभी कुछ टूटता है। ब्रांच बदलने से कोई पुराना प्लगइन या थीम टूट सकता है, इसलिए बैकअप लें और पहले टेस्ट करें।

क्या PHP 7.4 अब भी सुरक्षित है?
नहीं। इसका सुरक्षा सपोर्ट 28 नवंबर 2022 को ख़त्म हो गया। WordPress अब भी 7.4 पर चलता है, लेकिन wordpress.org चेतावनी देता है कि पुराना वर्ज़न साइट को सुरक्षा जोखिमों में डाल सकता है।

मुझे कैसे पता चले कि मेरी होस्टिंग ने PHP2Shell का पैच लगा दिया है?
साइट स्वास्थ्य पेज पर PHP वर्ज़न का पूरा नंबर देखें और उसे ऊपर दी गई तालिका से मिलाएँ। अगर नंबर छोटा है, तो प्रोवाइडर से पूछें कि क्या उनके पैकेज में पैच शामिल है।

अगर PHP अपडेट से कोई प्लगइन टूट जाए या साइट के रखरखाव के लिए किसी की ज़रूरत हो, तो हमसे संपर्क करें। हम WordPress और PHP ऐप्लिकेशन के अपडेट में मदद करते हैं।

स्रोत

• फ़िनलैंड का राष्ट्रीय साइबर सुरक्षा केंद्र (NCSC-FI): Kriittisiä haavoittuvuuksia PHP:ssa (37/2026) (फ़िनिश में)
• PHP: Security advisory: Critical remote code execution vulnerabilities, update now (अंग्रेज़ी में)
• PHP: RCE via OOM corruption, CVE-2026-109618 (अंग्रेज़ी में)
• PHP: RCE via stale global state, CVE-2026-109619 (अंग्रेज़ी में)
• PHP: समर्थित वर्ज़न (अंग्रेज़ी में)
• WordPress: आवश्यकताएँ (अंग्रेज़ी में)