---
title: "PHP2Shell 漏洞自查與修補：中小企業官網今天就要做的 5 件事"
description: "PHP2Shell 是 PHP 官方 2026 年 10 月 21 日修補的兩個核心漏洞，不用登入就可能被遠端接管伺服器。官網用 WordPress 或虛擬主機的中小企業，要升級到修補版並重啟 PHP。本文整理自查步驟、給主機商的提問範本、8.1 以下舊版的暫時防護與長期搬遷選擇。"
canonical: "https://yotron-ai.com/blog/php2shell-sme-website-check-patch"
published: "2026-10-21"
last-updated: "2026-10-21"
---

# PHP2Shell 漏洞自查與修補：中小企業官網今天就要做的 5 件事

PHP2Shell 是 PHP 官方 2026 年 10 月 21 日修補的兩個核心漏洞，不用登入就可能被遠端接管伺服器。官網用 WordPress 或虛擬主機的中小企業，要升級到修補版並重啟 PHP。本文整理自查步驟、給主機商的提問範本、8.1 以下舊版的暫時防護與長期搬遷選擇。

> 文／Laban（優創智能 AI 導入工程師）

PHP2Shell 是 PHP 官方在 2026 年 10 月 21 日修補的兩個核心漏洞（CVE-2026-109618、CVE-2026-109619），CVSS v4.0 評分 9.2，攻擊者不用登入，就可能從遠端在伺服器上執行程式。結論先講：**官網用 PHP 的企業，今天要做的不是研究漏洞原理，而是確認網站已經換到修補版本，而且 PHP 已經重新啟動**。還停在 PHP 8.1 以下的網站拿不到官方修補，要先限制存取，再規劃搬遷。

本文分成三部分：截至 2026-10-21 的**已知事實**、依主機類型的**自查對照表**，以及可以照著做的**五個步驟**。本文寫給官網負責人與老闆，不是技術鑑識指南；需要偵測規則的 IT 團隊，請參考文末的資安廠商來源。

> 最後更新：2026-10-21 23:58（台灣時間）。事件仍在發展，有新進展會更新本頁。

---

## 一、PHP2Shell 是什麼？3 個事實先看懂

以下整理自 [PHP 官方公告](https://www.php.net/archive/2026.php#2026-10-21-5)（2026-10-21）、[Tenable FAQ](https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote)（2026-10-21）與[鉅亨網引述《華爾街日報》的報導](https://news.cnyes.com/news/id/6635339)（2026-10-21）。

### 1. 兩個漏洞都在 PHP 核心，不是外掛

| 編號 | 問題 | 白話說明 |
| --- | --- | --- |
| CVE-2026-109618 | 記憶體不足時的處理錯誤 | 請求資料還沒準備好就被中斷，清理時把錯誤資料當成正常資料 |
| CVE-2026-109619 | 請求結束後殘留的狀態 | 上一個請求留下的資料，被同一個 worker 的下一個請求誤用 |

因為問題在 PHP 本身，**不管你用 WordPress、WooCommerce、Drupal、Joomla 還是自己寫的系統，只要網站跑在 PHP 上就在範圍內**。PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 這幾種執行方式都受影響。

### 2. 修補版本只有四個分支

| 你的 PHP 分支 | 要升級到 | 官方狀態 |
| --- | --- | --- |
| 8.5 | 8.5.12 以上 | 支援中 |
| 8.4 | 8.4.27 以上 | 支援中 |
| 8.3 | 8.3.36 以上 | 支援中 |
| 8.2 | 8.2.35 以上 | 2026-12-31 停止支援 |
| 8.1 以下（含 7.x） | 無官方更新 | 已停止支援 |

PHP 官方明說：**沒有完整的緩解方法，更新是唯一安全的選擇**。調整 php.ini 設定只能降低風險，不能讓網站變安全。

### 3. 為什麼這次特別急

- **消息提前外洩**：漏洞細節原訂 10 月 22 日公開，但 10 月 20 日就在 Hacker News 出現，PHP 團隊因此提前到 21 日發布修補。
- **已有攻擊跡象**：Cloudflare CTO Dane Knecht 在 10 月 21 日表示「看到早期攻擊出現」。不過截至本文更新時，美國 CISA 尚未將其列入已遭利用漏洞目錄（KEV），各家資安廠商的說法也還不一致。
- **AI 會縮短你的修補時間**：《華爾街日報》報導，這組漏洞是研究人員在 AI 模型協助下找到的。發現漏洞的資安公司 Calif 執行長警告，有人可能把修補程式交給 AI 分析，很快做出攻擊腳本。

**這次的時間壓力不是以週計算，而是以小時計算**。新聞說「全球七成網站使用 PHP」，那是 PHP 的使用占比，不等於七成網站都會被攻破；實際風險取決於你的版本與修補狀態。

---

## 二、我的官網有沒有受影響？依主機類型對照

大部分中小企業官網不是自己管伺服器，所以第一件事是搞清楚「誰負責更新 PHP」。

| 你的主機類型 | 誰更新 PHP | 你要做的事 |
| --- | --- | --- |
| 共享虛擬主機（cPanel、Plesk） | 主機商 | 寫信確認版本與更新時間；控制台若能切 PHP 版本，確認選的是已修補的分支 |
| 代管 WordPress 主機 | 主機商 | 到後台核對版本；看主機商公告 |
| 自己租的 VPS／雲端主機 | 你或外包工程師 | 自己更新並重啟 PHP，確認容器映像已重建 |
| 外包廠商維護的網站 | 外包廠商 | 用下方範本寄信，要求書面回覆 |
| 靜態網站、Wix、Shopify 等非 PHP 平台 | 不適用 | 確認周邊系統（表單、會員、舊後台）沒有用 PHP |

如果你不知道自己是哪一種，看每月或每年付錢給誰：付給主機商就是前兩種，付給雲端平台就是 VPS，付給接案工程師就是外包。

---

## 三、5 步驟自查與修補

### 步驟 1：查出網站實際使用的 PHP 版本

依你能進入的地方，三種方法擇一：

- **WordPress 後台**：「工具 → 網站健康狀態 → 資訊 → 伺服器」，看「PHP 版本」。
- **cPanel／Plesk**：找「Select PHP Version」「MultiPHP Manager」或「PHP 設定」。
- **自己的主機**：工程師可以建一個只有 `<?php phpinfo();` 的檔案，用瀏覽器開啟查看版本，**看完立刻刪除**，這個檔案會公開伺服器資訊。

注意：在主機上打 `php -v` 看到的是命令列版本，不一定等於網站實際使用的版本。

### 步驟 2：對照修補版本表

把查到的版本號對照第一節的表格：

- 8.2 到 8.5，且版本號**大於或等於**修補版本 → 已修補，跳到步驟 4 確認。
- 8.2 到 8.5，但版本號較舊 → 要更新，進到步驟 3。
- 8.1 以下 → 沒有官方修補，直接做步驟 5，並閱讀第五節。

### 步驟 3：寄信給主機商或工程師

不知道怎麼問的話，可以直接複製這段：

```text
主旨：PHP2Shell（CVE-2026-109618／CVE-2026-109619）修補確認

您好，關於 PHP 官方 2026-10-21 發布的緊急安全更新，想請確認我們網站（網址）的狀況：
1. 網站目前實際使用的 PHP 版本與執行方式（PHP-FPM、mod_php 或其他）？
2. 是否已更新到修補版本（8.5.12／8.4.27／8.3.36／8.2.35 或以上）？若尚未，預計何時完成？
3. 更新後是否已重新啟動 PHP 程序，網站已實際使用新版本？
4. 若目前是 8.1 以下版本，有無回移修補？若沒有，建議的升級或隔離方案為何？
5. 是否有發現異常檔案、排程或帳號？

麻煩以書面回覆，謝謝。
```

要求書面回覆，是因為事後如果真的出事，你需要知道當時誰說了什麼。

### 步驟 4：更新後，確認網站真的換到新版本

這一步最常被跳過。Brandefense 與 SOCRadar 等資安廠商都提醒：**只更新命令列的 PHP 套件，不一定會更新網站使用的 PHP-FPM 或 Apache 模組**。更新後要重新啟動 PHP 程序；用 Docker 部署的，要重建映像並重新部署。

確認方法：回到步驟 1，用網站實際的版本（WordPress 後台或 phpinfo）再查一次，看到修補版本號才算完成。

### 步驟 5：還沒修補前，先做暫時防護

如果今天沒辦法完成更新，依風險高低選擇：

1. **開啟 Cloudflare WAF 規則**：網站已在 Cloudflare 後面的，Cloudflare 已推出針對已知攻擊手法的規則，免費方案也能用。但它只擋經過 Cloudflare 的流量，直接連主機 IP 的請求擋不到。
2. **限制後台與管理介面**：把 `/wp-admin`、cPanel、phpMyAdmin 等限制為公司 IP 或 VPN 才能進。
3. **暫時下線**：歐盟資安機構 CERT-EU 與英國 NCSC 都建議，無法及時修補的對外系統，應考慮先與公開網路隔離。官網暫停一兩天的損失，通常比伺服器被接管、客戶資料外流小。

以上都是爭取時間的措施，**不能取代更新**。

> **不確定自己的網站是哪種主機、版本是多少？** 可以[填寫諮詢表單申請官網健檢](/contact)，留下網址與目前的主機商，我們會協助確認 PHP 版本、修補狀態與該找誰處理。

---

## 四、怎麼看網站是不是已經被入侵？

修補只能防止之後的攻擊。如果更新前已經被攻擊，駭客可能留下後門。請主機商或工程師檢查以下跡象：

| 檢查項目 | 可疑跡象 |
| --- | --- |
| 網站根目錄 | 近幾天出現不認得的 `.php` 檔，或檔案修改時間異常 |
| WordPress 使用者 | 多了不認得的管理員帳號 |
| 排程工作 | 新增的 cron 或排程工作 |
| 主機程序 | PHP 程序啟動 shell、`curl`、`wget` 等指令（工程師用監控工具查） |
| 網站外觀 | 被插入不認得的連結、彈窗或轉址 |

只要發現任何一項，就不只是更新 PHP 的問題：要重設所有密碼與金鑰，必要時從乾淨的備份重建。金鑰輪替的做法，可以參考我們整理的 [Zeabur 資安事件與企業該補的五個缺口](/blog/zeabur-shutdown-security-incident-enterprise-lessons)。

---

## 五、PHP 8.1 以下怎麼辦？這次之後的長期選擇

這是我們最常在官網健檢中遇到的狀況：**網站做好之後就沒人管，主機一直停在 PHP 7.x，沒有人知道要升級，也沒有人敢升級**。HKEPC 引述報導指出，全球近六成對外的 PHP 伺服器使用已停止支援的版本，這次它們都拿不到官方修補。

這不是這次漏洞才有的問題，而是每一次漏洞都會再發生一次。長期選項有三種：

1. **升級到受支援的 PHP 版本**：適合網站功能還有在用、外掛還有維護的情況。跨大版本要先在測試站驗證，同時注意 8.2 在 2026 年底也會停止支援，**直接升到 8.4 或 8.5 比較划算**。
2. **換到有人負責更新的代管主機**：適合沒有工程師、只想讓網站正常運作的企業。差別在於有一份合約寫明誰負責安全更新。
3. **改成靜態網站或不用 PHP 的架構**：適合內容以介紹、作品、文章為主，不需要會員或購物車的官網。沒有 PHP 執行環境，這類漏洞就不在範圍內，也省下長期維護的負擔。

**判斷方法只要問一個問題：「下次 PHP 再出重大漏洞，誰會在當天幫我更新？」** 答不出來，就是該處理的時候了。如果你想評估官網要升級還是搬遷，可以看我們的[網站遷移服務](/services/website-migration)，我們會先盤點現有網站的版本、外掛與內容，再建議最省事的做法。

---

## 六、結語：修補是今天的事，維護是每年的事

PHP2Shell 的嚴重程度，PHP 基金會的資安工程師拿來和 2014 年的 Heartbleed 相比。但對中小企業來說，這次真正暴露的不是漏洞本身，而是「官網沒有人負責維護」這件事。今天先完成版本確認與修補；這週之內，把「誰負責更新、多久檢查一次」寫進主機或外包合約裡。

**驗收標準**：完成後應能回答三個問題——網站實際使用的 PHP 版本是多少、是否已在修補版本以上、下次重大漏洞時由誰在幾小時內處理。三題都答得出來，這次事件才算處理完。

如果三題裡有任何一題答不出來，歡迎[填寫諮詢表單，預約官網健檢](/contact)。我們會從網站的 PHP 版本、外掛與主機狀況開始盤點，再告訴你哪些今天要修、哪些可以排進之後的維護或搬遷計畫。

---

**參考來源**

- PHP 官方，〈PHP 2026 News Archive〉（含 10-20 預告與 10-21 安全公告、各分支發布說明），2026-10-21：https://www.php.net/archive/2026.php
- Tenable，〈php2shell (CVE-2026-109618, CVE-2026-109619): Frequently Asked Questions〉，2026-10-21：https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote
- Help Net Security，〈PHP2Shell: Critical PHP vulnerabilities patched, update now!〉，2026-10-21：https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/
- 鉅亨網，〈全球多達七成網站使用的PHP出事了！重大漏洞恐讓駭客接管伺服器〉（引述《華爾街日報》），2026-10-21：https://news.cnyes.com/news/id/6635339
- CyberQ，〈PHP 核心雙 RCE 漏洞提前外洩！企業偵測與緊急應變指南〉，2026-10-21：https://cyberq.tw/2026/10/21/two-cvss-92-rce-vulnerabilities/
- HKEPC，〈PHP 雙重高危 RCE 漏洞提前外洩〉，2026-10-21：https://www.hkepc.com/27020/

---

## 相關推薦與延伸閱讀

- [Cloudflare 推出代理就緒度分數：用四大維度檢查你的網站對 AI Agent 是否準備好](/blog/cloudflare-agent-readiness-score-guide)：Cloudflare isitagentready.com 用四大維度替網站的 AI agent 就緒度打分。本文解析評分邏輯與官方歷史樣本，說明採用率為何不等
- [Cloudflare AI Gateway 免費層：替 AI API 加上觀測與成本護欄](/blog/cloudflare-ai-gateway-free-observability)：用 Cloudflare AI Gateway 的免費核心功能集中管理 AI 請求，實作 logging、cache、rate limiting 與 GEO 查
- [Cloudflare Vectorize 免費額度：做出會回傳來源的 RAG](/blog/cloudflare-vectorize-free-rag-citations)：用 Cloudflare Vectorize 與 Workers AI 建立小型 RAG 原型，理解免費額度、向量維度計算、來源回傳與 GEO 引用保真。本文說