文／Laban（優創智能 AI 導入工程師）
PHP2Shell 是 PHP 官方在 2026 年 10 月 21 日修補的兩個核心漏洞（CVE-2026-109618、CVE-2026-109619），CVSS v4.0 評分 9.2，攻擊者不用登入，就可能從遠端在伺服器上執行程式。結論先講：官網用 PHP 的企業，今天要做的不是研究漏洞原理，而是確認網站已經換到修補版本，而且 PHP 已經重新啟動。還停在 PHP 8.1 以下的網站拿不到官方修補，要先限制存取，再規劃搬遷。
本文分成三部分：截至 2026-10-21 的已知事實、依主機類型的自查對照表，以及可以照著做的五個步驟。本文寫給官網負責人與老闆，不是技術鑑識指南；需要偵測規則的 IT 團隊，請參考文末的資安廠商來源。
最後更新：2026-10-21 23:58（台灣時間）。事件仍在發展，有新進展會更新本頁。
一、PHP2Shell 是什麼？3 個事實先看懂
以下整理自 PHP 官方公告（2026-10-21）、Tenable FAQ（2026-10-21）與鉅亨網引述《華爾街日報》的報導（2026-10-21）。
1. 兩個漏洞都在 PHP 核心，不是外掛
| 編號 | 問題 | 白話說明 |
|---|---|---|
| CVE-2026-109618 | 記憶體不足時的處理錯誤 | 請求資料還沒準備好就被中斷，清理時把錯誤資料當成正常資料 |
| CVE-2026-109619 | 請求結束後殘留的狀態 | 上一個請求留下的資料，被同一個 worker 的下一個請求誤用 |
因為問題在 PHP 本身，不管你用 WordPress、WooCommerce、Drupal、Joomla 還是自己寫的系統，只要網站跑在 PHP 上就在範圍內。PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 這幾種執行方式都受影響。
2. 修補版本只有四個分支
| 你的 PHP 分支 | 要升級到 | 官方狀態 |
|---|---|---|
| 8.5 | 8.5.12 以上 | 支援中 |
| 8.4 | 8.4.27 以上 | 支援中 |
| 8.3 | 8.3.36 以上 | 支援中 |
| 8.2 | 8.2.35 以上 | 2026-12-31 停止支援 |
| 8.1 以下（含 7.x） | 無官方更新 | 已停止支援 |
PHP 官方明說：沒有完整的緩解方法，更新是唯一安全的選擇。調整 php.ini 設定只能降低風險，不能讓網站變安全。
3. 為什麼這次特別急
- 消息提前外洩：漏洞細節原訂 10 月 22 日公開，但 10 月 20 日就在 Hacker News 出現，PHP 團隊因此提前到 21 日發布修補。
- 已有攻擊跡象：Cloudflare CTO Dane Knecht 在 10 月 21 日表示「看到早期攻擊出現」。不過截至本文更新時，美國 CISA 尚未將其列入已遭利用漏洞目錄（KEV），各家資安廠商的說法也還不一致。
- AI 會縮短你的修補時間：《華爾街日報》報導，這組漏洞是研究人員在 AI 模型協助下找到的。發現漏洞的資安公司 Calif 執行長警告，有人可能把修補程式交給 AI 分析，很快做出攻擊腳本。
這次的時間壓力不是以週計算，而是以小時計算。新聞說「全球七成網站使用 PHP」，那是 PHP 的使用占比，不等於七成網站都會被攻破；實際風險取決於你的版本與修補狀態。
二、我的官網有沒有受影響？依主機類型對照
大部分中小企業官網不是自己管伺服器，所以第一件事是搞清楚「誰負責更新 PHP」。
| 你的主機類型 | 誰更新 PHP | 你要做的事 |
|---|---|---|
| 共享虛擬主機（cPanel、Plesk） | 主機商 | 寫信確認版本與更新時間；控制台若能切 PHP 版本，確認選的是已修補的分支 |
| 代管 WordPress 主機 | 主機商 | 到後台核對版本；看主機商公告 |
| 自己租的 VPS／雲端主機 | 你或外包工程師 | 自己更新並重啟 PHP，確認容器映像已重建 |
| 外包廠商維護的網站 | 外包廠商 | 用下方範本寄信，要求書面回覆 |
| 靜態網站、Wix、Shopify 等非 PHP 平台 | 不適用 | 確認周邊系統（表單、會員、舊後台）沒有用 PHP |
如果你不知道自己是哪一種，看每月或每年付錢給誰：付給主機商就是前兩種，付給雲端平台就是 VPS，付給接案工程師就是外包。
三、5 步驟自查與修補
步驟 1：查出網站實際使用的 PHP 版本
依你能進入的地方，三種方法擇一：
- WordPress 後台：「工具 → 網站健康狀態 → 資訊 → 伺服器」，看「PHP 版本」。
- cPanel／Plesk：找「Select PHP Version」「MultiPHP Manager」或「PHP 設定」。
- 自己的主機：工程師可以建一個只有
<?php phpinfo();的檔案，用瀏覽器開啟查看版本，看完立刻刪除，這個檔案會公開伺服器資訊。
注意：在主機上打 php -v 看到的是命令列版本，不一定等於網站實際使用的版本。
步驟 2：對照修補版本表
把查到的版本號對照第一節的表格：
- 8.2 到 8.5，且版本號大於或等於修補版本 → 已修補，跳到步驟 4 確認。
- 8.2 到 8.5，但版本號較舊 → 要更新，進到步驟 3。
- 8.1 以下 → 沒有官方修補，直接做步驟 5，並閱讀第五節。
步驟 3：寄信給主機商或工程師
不知道怎麼問的話，可以直接複製這段：
主旨：PHP2Shell（CVE-2026-109618／CVE-2026-109619）修補確認
您好，關於 PHP 官方 2026-10-21 發布的緊急安全更新，想請確認我們網站（網址）的狀況：
1. 網站目前實際使用的 PHP 版本與執行方式（PHP-FPM、mod_php 或其他）？
2. 是否已更新到修補版本（8.5.12／8.4.27／8.3.36／8.2.35 或以上）？若尚未，預計何時完成？
3. 更新後是否已重新啟動 PHP 程序，網站已實際使用新版本？
4. 若目前是 8.1 以下版本，有無回移修補？若沒有，建議的升級或隔離方案為何？
5. 是否有發現異常檔案、排程或帳號？
麻煩以書面回覆，謝謝。
要求書面回覆，是因為事後如果真的出事，你需要知道當時誰說了什麼。
步驟 4：更新後，確認網站真的換到新版本
這一步最常被跳過。Brandefense 與 SOCRadar 等資安廠商都提醒：只更新命令列的 PHP 套件，不一定會更新網站使用的 PHP-FPM 或 Apache 模組。更新後要重新啟動 PHP 程序；用 Docker 部署的，要重建映像並重新部署。
確認方法：回到步驟 1，用網站實際的版本（WordPress 後台或 phpinfo）再查一次，看到修補版本號才算完成。
步驟 5：還沒修補前，先做暫時防護
如果今天沒辦法完成更新，依風險高低選擇：
- 開啟 Cloudflare WAF 規則：網站已在 Cloudflare 後面的，Cloudflare 已推出針對已知攻擊手法的規則，免費方案也能用。但它只擋經過 Cloudflare 的流量，直接連主機 IP 的請求擋不到。
- 限制後台與管理介面：把
/wp-admin、cPanel、phpMyAdmin 等限制為公司 IP 或 VPN 才能進。 - 暫時下線：歐盟資安機構 CERT-EU 與英國 NCSC 都建議，無法及時修補的對外系統，應考慮先與公開網路隔離。官網暫停一兩天的損失，通常比伺服器被接管、客戶資料外流小。
以上都是爭取時間的措施，不能取代更新。
不確定自己的網站是哪種主機、版本是多少？ 可以填寫諮詢表單申請官網健檢，留下網址與目前的主機商，我們會協助確認 PHP 版本、修補狀態與該找誰處理。
四、怎麼看網站是不是已經被入侵？
修補只能防止之後的攻擊。如果更新前已經被攻擊，駭客可能留下後門。請主機商或工程師檢查以下跡象：
| 檢查項目 | 可疑跡象 |
|---|---|
| 網站根目錄 | 近幾天出現不認得的 .php 檔，或檔案修改時間異常 |
| WordPress 使用者 | 多了不認得的管理員帳號 |
| 排程工作 | 新增的 cron 或排程工作 |
| 主機程序 | PHP 程序啟動 shell、curl、wget 等指令（工程師用監控工具查） |
| 網站外觀 | 被插入不認得的連結、彈窗或轉址 |
只要發現任何一項，就不只是更新 PHP 的問題：要重設所有密碼與金鑰，必要時從乾淨的備份重建。金鑰輪替的做法，可以參考我們整理的 Zeabur 資安事件與企業該補的五個缺口。
五、PHP 8.1 以下怎麼辦？這次之後的長期選擇
這是我們最常在官網健檢中遇到的狀況：網站做好之後就沒人管，主機一直停在 PHP 7.x，沒有人知道要升級，也沒有人敢升級。HKEPC 引述報導指出，全球近六成對外的 PHP 伺服器使用已停止支援的版本，這次它們都拿不到官方修補。
這不是這次漏洞才有的問題，而是每一次漏洞都會再發生一次。長期選項有三種：
- 升級到受支援的 PHP 版本：適合網站功能還有在用、外掛還有維護的情況。跨大版本要先在測試站驗證，同時注意 8.2 在 2026 年底也會停止支援，直接升到 8.4 或 8.5 比較划算。
- 換到有人負責更新的代管主機：適合沒有工程師、只想讓網站正常運作的企業。差別在於有一份合約寫明誰負責安全更新。
- 改成靜態網站或不用 PHP 的架構：適合內容以介紹、作品、文章為主，不需要會員或購物車的官網。沒有 PHP 執行環境，這類漏洞就不在範圍內，也省下長期維護的負擔。
判斷方法只要問一個問題：「下次 PHP 再出重大漏洞，誰會在當天幫我更新？」 答不出來，就是該處理的時候了。如果你想評估官網要升級還是搬遷，可以看我們的網站遷移服務，我們會先盤點現有網站的版本、外掛與內容，再建議最省事的做法。
六、結語：修補是今天的事，維護是每年的事
PHP2Shell 的嚴重程度，PHP 基金會的資安工程師拿來和 2014 年的 Heartbleed 相比。但對中小企業來說，這次真正暴露的不是漏洞本身，而是「官網沒有人負責維護」這件事。今天先完成版本確認與修補；這週之內，把「誰負責更新、多久檢查一次」寫進主機或外包合約裡。
驗收標準：完成後應能回答三個問題——網站實際使用的 PHP 版本是多少、是否已在修補版本以上、下次重大漏洞時由誰在幾小時內處理。三題都答得出來，這次事件才算處理完。
如果三題裡有任何一題答不出來，歡迎填寫諮詢表單，預約官網健檢。我們會從網站的 PHP 版本、外掛與主機狀況開始盤點，再告訴你哪些今天要修、哪些可以排進之後的維護或搬遷計畫。
參考來源
- PHP 官方，〈PHP 2026 News Archive〉（含 10-20 預告與 10-21 安全公告、各分支發布說明），2026-10-21：https://www.php.net/archive/2026.php
- Tenable，〈php2shell (CVE-2026-109618, CVE-2026-109619): Frequently Asked Questions〉，2026-10-21：https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote
- Help Net Security，〈PHP2Shell: Critical PHP vulnerabilities patched, update now!〉，2026-10-21：https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/
- 鉅亨網，〈全球多達七成網站使用的PHP出事了！重大漏洞恐讓駭客接管伺服器〉（引述《華爾街日報》），2026-10-21：https://news.cnyes.com/news/id/6635339
- CyberQ，〈PHP 核心雙 RCE 漏洞提前外洩！企業偵測與緊急應變指南〉，2026-10-21：https://cyberq.tw/2026/10/21/two-cvss-92-rce-vulnerabilities/
- HKEPC，〈PHP 雙重高危 RCE 漏洞提前外洩〉，2026-10-21：https://www.hkepc.com/27020/
相關推薦與延伸閱讀
- Cloudflare 推出代理就緒度分數：用四大維度檢查你的網站對 AI Agent 是否準備好：Cloudflare isitagentready.com 用四大維度替網站的 AI agent 就緒度打分。本文解析評分邏輯與官方歷史樣本，說明採用率為何不等
- Cloudflare AI Gateway 免費層：替 AI API 加上觀測與成本護欄：用 Cloudflare AI Gateway 的免費核心功能集中管理 AI 請求，實作 logging、cache、rate limiting 與 GEO 查
- Cloudflare Vectorize 免費額度：做出會回傳來源的 RAG：用 Cloudflare Vectorize 與 Workers AI 建立小型 RAG 原型，理解免費額度、向量維度計算、來源回傳與 GEO 引用保真。本文說