PHP2Shell 是什麼？PHP 重大漏洞白話拆解與 WordPress 當天修補實錄

PHP2Shell 是 2026 年 10 月 21 日公開的兩個 PHP 重大漏洞（CVE-2026-109618、CVE-2026-109619）的統稱，攻擊者不用登入就可能在網站主機上執行任意程式，嚴重度 9.2 分（滿分 10）。只要你的網站是用 PHP 寫的，包含 WordPress、Laravel、Drupal、Joomla，都在影響範圍內，解法是把 PHP 升級到 8.5.12、8.4.27、8.3.36 或 8.2.35。

我們看到公告的當天，就把自家與代管的 WordPress 網站、部署管理平台全部盤點一輪：先查有沒有被入侵，再升級 PHP，升級後逐站回測，每個站的停機時間都在一分鐘以內，回測也沒有發現異常存取。這篇把漏洞用白話講清楚，也把我們實際的處理順序與踩到的坑整理出來，給同樣在管 WordPress 網站的你照著做。

PHP2Shell 懶人包：發生什麼事、誰會受影響

一句話：PHP 這個全球最多網站在用的程式語言，被找到兩個能讓攻擊者遠端接管主機的漏洞，細節提前外流，官方只好提前一天緊急發布修補。下面這張表整理自 PHP 官方公告、Tenable 與 Patchstack 的資料。

時間軸也值得看一下：

英國國家網路安全中心（NCSC）的 公告 講得很直接：任何版本的 PHP 都受影響，所有組織都應該盡快升級；如果一時升不了，要考慮先把系統下線。

PHP 是什麼？為什麼一個漏洞能影響這麼多網站

PHP 是一種專門用來做網站的程式語言。你打開一個 WordPress 網站時，伺服器上的 PHP 會即時把文章、選單、表單「組裝」成網頁再送給你。用餐廳比喻，PHP 就是廚房裡的廚師，WordPress 是食譜，資料庫是食材倉庫。

PHP 有多普及？W3Techs 的統計 顯示，在已知伺服器端語言的網站裡，大約七成用的是 PHP。全球最多人用的網站系統 WordPress 就是 PHP 寫的，台灣大量的企業形象網站、電商網站、補習班與診所網站也都建在上面。

這次的漏洞出在 PHP 本身，也就是「廚師」出了問題，跟你用什麼「食譜」無關。所以不管你的 WordPress 外掛有沒有更新、佈景主題多新，只要底層的 PHP 版本沒修補，就一樣在風險裡。這也是為什麼這次的影響範圍特別大。

兩個漏洞白話拆解：記憶體出錯，就可能被接管

一句話：兩個漏洞都跟 PHP 處理記憶體的方式有關，攻擊者可以故意讓 PHP 出錯，再趁亂讓它執行自己準備好的程式。下面的白話說明參考 Tenable 的整理。

這類漏洞的麻煩在於，攻擊成功時不一定會留下明顯的痕跡。所以除了升級，升級前先查有沒有被入侵同樣重要，這也是各國資安單位一致的建議。

我們的處理實錄：看到公告當天就完成盤點、回測與升級

一句話：先盤點、再查入侵、最後升級並回測，順序不能反。直接升級雖然快，但如果主機在升級前已經被動過手腳，升級只是把門關上，屋裡的人還在。

我們的處理分成五步：

另外有兩個細節值得一提。第一，升級順序是測試站先、正式站後，測試站驗證過新版本沒有相容問題，才動客戶正在用的網站。第二，暫停中、沒有對外的舊站也列進盤點，其中一個已經閒置的舊站，我們順手把它完整暫停，少一個被攻擊的入口；另外兩個暫停中的站則註記「重新啟用前要先換新版本」。

這套「盤點、排查、升級、回測」的順序，跟我們處理其他平台資安事件時的做法是一致的。像前陣子 Railway 環境變數外洩事件，同樣是先確認影響範圍、再處理秘密、最後驗證。

升級前先查有沒有被入侵：我們做的回測

一句話：拿官方的標準版本來比對，再翻紀錄找異常。這些檢查不需要昂貴的資安工具，有經驗的工程師一兩個小時就能做完。

翻紀錄時會看到不少讓人緊張的東西，例如有人一直嘗試猜後台密碼、有機器人在找不小心留在網站上的設定檔。這其實是網路上的日常，判斷的關鍵是「有沒有成功」：被擋下、找不到檔案，就代表對方沒拿到東西。

如果你的網站真的有被入侵的跡象，止血步驟可以參考 WordPress 網站被駭怎麼辦。

最容易踩的坑：以為更新了，其實還是舊版

一句話：「升級完成」要看實際版本，不能只看有沒有按下更新。這是這次最想提醒大家的一點。

不少網站是用「打包好的環境」部署的，重新部署時會去下載一份新的環境。很多人以為重新部署就會拿到最新、修補過的版本，但如果當初指定的是一個已經不再更新的舊版本，重新部署拿到的還是舊的。這次我們就遇到這種情況，官方的修補放在新的版本名稱底下，舊名稱已經好幾個月沒更新了。

管理平台也一樣。很多團隊會用一套管理面板來管理底下所有網站，面板本身也可能用到 PHP。管理面板權限最大，更新時一樣要先備份、再照官方程序升級，並確認它沒有對外開放。

你的 WordPress 網站該怎麼做：照情況選路

一句話：先確認誰管你的 PHP，再確認版本，最後確認有沒有被入侵。下面這張流程圖照你的主機類型走就好。

如果你的網站已經多年沒人維護、連 PHP 版本都查不到，這次是很好的時機重新評估：是要找人接手維護，還是乾脆改版。WordPress 和客製化系統怎麼選，可以參考 WordPress 還是客製化系統的判斷指南。

平常就要準備好的三件事：讓下一次漏洞來時不慌

一句話：這次能在一天內處理完，靠的是平常就有的三樣東西：服務清單、可重複的升級程序、留得住的紀錄。

這三件事其實就是維運合約該寫清楚的內容。你的網站廠商有沒有承諾「重大漏洞公告後幾天內完成修補」？有沒有定期回報版本？這些可以參考 維護合約範本裡 SLA 的寫法。系統上線後的維運成本怎麼估，客製化系統上線後的隱性成本 那篇也有整理。

想更有系統地檢查網站的資安狀況，弱點掃描、滲透測試、壓力測試各有用途，可以看 三種資安檢測的差別。平常的服務監控與異常通知，則可以參考 SLA 監控儀表板採購指南。資料備份是所有應變的最後一道保險，資料備份與災難復原指南 有完整的 3-2-1 做法。

看到這裡，如果你也在想「我們公司的網站，有人在顧 PHP 版本嗎？」，我們很樂意 聽你聊聊現在網站的狀況，一起看看哪些該先處理。如果是自家的客製化系統，也可以聊聊 系統的維運規劃。